Sicherheit von Typo3 Websites

hi
mich würde trotzdem das javascript injection problem interessieren 😉

nur so nebenbei #giggle#

cu
thorsten

Tetramatrix schrieb

Außerdem gibt es ja auch einfachere Hacks, zb. Passwörter erraten. Eine Wörterbuch-Attacke auf das BE-Login könnte bei leicht zu erratenen PW durchaus erfolgreich sein.

maxhb schrieb

Dagegen kann man vermutlich nicht wirklich etwas unternehmen. Man könnte zwar die gewählten Passworte per Script auf Ihre Qualität überprüfen und einfache Passworte verbieten, jedoch verbessert das die Situation nur marginal...

Naja.....hmmmmmm......
Ich weiss nicht.....ne Brute force mit Dictionary???
Wie man sowas abfängt sollte eigentlich bekannt sein....
Ist nen uralter Hut.....
Klar kann man das abfangen in dem man die Login Versuche Zeitlich begrenzt oder ??
Naja...war nur so'n Gedanke....

cu
Dosul

TW schrieb

hi
mich würde trotzdem das javascript injection problem interessieren 😉

nur so nebenbei #giggle#

cu
thorsten

Na dann......

<script>alert('evil+java+script+here')</script>

*gg*
Dosul

#giggle# :o #giggle# 8-)

jetzt wissen wir also alle was javascript injections sind.......... 😉

cu
thorsten

Daher frage ich noch mal ganz direkt: Kann nicht eine einzige buggy Extension das gesamte System kompromittieren? Wenn ich also z.B. eine Extension für einen Kunden entwickeln sollte und dort vielleicht die an die DB übergebenen Parameter nicht überprüfe, dann wäre ggf. eine SQL-Insertion möglich und wenn sich diese auf die tabelle be_users bezieht, dann ist das gesamte System ausgehebelt worden.
Scheint mir ein prinzipielles problem zu sein, so dass man auf jeden Fall jede Extension, egal ob im repository oder selbst geschrieben gründlich checken sollte...

Da ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie. Im Grunde muß man jede Extension auf solche Löcher hin querlesen. Und die Coder dafür sensibilisieren, damit schon beim coden sowas vermieden wird. Aber es bringt nix den Teufel an die Wand zu malen, und Panik zu verbreiten.

T.

Tetramatrix schrieb

Da ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie. Im Grunde muß man jede Extension auf solche Löcher hin querlesen. Und die Coder dafür sensibilisieren, damit schon beim coden sowas vermieden wird.

Das war ziemlich genau, was ich meinte. Allerdings würde ich den Aufwand für eine SQL-Injection nicht zu hoch hängen, das kann ggf. sehr einfach gehen. Zum Glück ist jedoch bei PHP mittlerweile die Option GPC_MAGIC_QUOTES standardmässig aktiviert, so dass ungeprüfte GET- und POST-Parameter nicht mehr so schnell zum Problem werden...

Tetramatrix schrieb

Aber es bringt nix den Teufel an die Wand zu malen, und Panik zu verbreiten.

Don't panic
... steht schon auf einem der berühmtesten Bücher überhaupt #giggle#

CU
maxhb

Tetramatrix schrieb

Da ist schon was dran. Aber so eine SQL-Injection muß man auch erstmal hinkriegen, dazu gehört, wie gesagt, schon eine Menge kriminelle Energie.

na aber jetzt mal ehrlich.......
alle die was versierter sind und wissen wo sie ansetzen müssen, kriegens hin........und dafür braucht man nicht mal kriminelle energie, sondern einfach nur blanke neugierde...

cu
thorsten

http://www.php.net/manual/de/function.get-magic-quotes-gpc.php
Hmm, über magic quotes habe ich aber nix gutes gelesen. Funktioniert das überhaupt?

Grüße,
T.

...Jungs !
Jetzt mal ehrlich !!
Lasst die Kirche mal im Dorf.....
Über Sicherheit innerhalb einer Applikation zu reden deren Sourcen offen liegen ist -- nehmt es mir nicht übel -- der grösste Schwachsinn überhaupt !!
An dieser Stelle zu behaupten T3 sei sicher ist so ziemlich der grö?te Blödsinn den ich in letzter Zeit gelesen habe...
Was ist noch alles sicher ??
Postnuke?
Also....man kann es nem Script Kiddie zwar schwer machen....aaaaaaber nem Hacker ringt das ein mehr oder weniger müdes lächeln ab.
Security Team hin oder her !!

cu
Dosul

#giggle# 8-) #giggle#

jungens hört auf den mann, der weiss wovon er redet 😉

ausserdem is das ja wohl mehr als die wahrheit!

cu
thorsten

@dosul: Jaaaa, sicher, und Du bist der Kaiser von China. 😉.

Tetramatrix schrieb

@dosul: Jaaaa, sicher, und Du bist der Kaiser von China. 😉.

Nein.....aber sag mir doch mal wo DU nen T3 laufen
hast ?

edit:
LOL....
Wer ist hier der Kaiser von China ?
Chi Hoang ??
Sach mal......
http://www.chihoang.de
Is datt deine ?
...und kein T3 ????
Schade eigentlich...*ggg*
SCNR
Dosul

oh ja bitte!!!!
#giggle#

@dosul: locahost *ROFL*

Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als der kultige Freitagkurzvorfeierabendflamewar auf heise.de und das ist genau, wo ich jetzt reinschauen werde 😉

CU
maxhb

maxhb schrieb

Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als der kultige Freitagkurzvorfeierabendflamewar auf heise.de und das ist genau, wo ich jetzt reinschauen werde 😉

CU
maxhb

Jepp....agreed #giggle#
Aber der meinung war ich schon von Anfang an 😉

cu
Dosul

maxhb schrieb

Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als der kultige Freitagkurzvorfeierabendflamewar auf heise.de

ja und hätten wir hier moderatoren #giggle# wäre der thread schon lange dicht :o

#8078

cu
thorsten

maxhb schrieb

Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als ...

Schade - und ich dachte schon Typo3 wäre ein ernst zu nehmendes CMS! 😢

Ciao - Tom

tomybyte schrieb

maxhb schrieb

Vielleicht sollten wir diesen Thread einfach verbrennen, langsam wirds alberner als ...

Schade - und ich dachte schon Typo3 wäre ein ernst zu nehmendes CMS! 😢

Ciao - Tom

oh mann...
du hast wohl hier nicht gut gelesen, oder????
es geht sich nicht nur um typo3, sondern um jedes system!!!!!!!!!!!!!!

wurde wohl schon etwas weiter oben gesagt....
lass dir gesagt sein, jedes system ist angreifbar!

typo3 ist ernst zu nehmen....................
nur halt ist im internet eben nichts sicher!

cu
thorsten

tomybyte schrieb

Schade - und ich dachte schon Typo3 wäre ein ernst zu nehmendes CMS! 😢

Kopf hoch Tom!
Die Sicherheit von Typo3 ist vermutlich nicht 100%ig, jedoch höchst wahrscheinlich deutlich besser als die der meisten anderen auf PHP basierten Applikationen. Und das schöne ist, dass die Sicherheitslücken mit jedem Tag weniger werden - immerhin arbeitet auf der einen Seite ein ganzes team an der Abschottung von PHP und auf der anderen Seite gibt's da Kollegen wie Tetramatrix, die zusätzlich noch die Problemstellen im PHP-Code lokalisieren und ausmerzen.
Davon abgesehen sollte man nicht glauben, dass es im Internet nur so vor bösen Buben wimmelt, die darauf aus sind, die Website eines Hobby-Philatelisten zu knacken - obwohl sowas passieren könnte(! siehe Kommentar zu Script-Kiddies weiter oben).
Realistischreweise wird das jedoch nur äusserst selten passieren und dann ist die furchtbare Konsequenz ... Ja was ist denn eigentlich die Konsequenz? Man muss sein sorgfältig erstelltes Systembackup wieder einspielen und weiter gehts....

CU
maxhb