--- title: "Sicherheitslücke in Typo3" url: "https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3" source: "typo3.net" tags: ["Allgemein","Frage","Sicherheit"] created: "2005-08-02" last_reply: "2005-11-09" replies: 8 solved: false page: 1 pages: 1 lang: "de" --- # Sicherheitslücke in Typo3 Allgemein · 8 Antworten · gestartet 2005-08-02 ## Eröffnungsbeitrag **petewulf** · 2005-08-02 · [Beitrag #1](https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3/1) Hallo Leute! Ich bin gestern auf eine Sicherheitslücke aufmerksam geworden, vielleicht ist diese schon einigen unter euch bekannt. Da ich durch einen Bug in den T3-Extensions einige Dateien manuell editieren musste, bin ich auf folgende Datei gestoßen: ../typo3conf/localconf.php Hier sind sämtliche Typo3 Konfigurationseinstellungen und Datenbankinformationen im Klartext gespeichert und aufgelistet. D.h. sollte mal aus irgendeinem Grund der PHP-Parser nicht funktionieren oder absichtlich zum Absturz gebracht werden, so muss man nur diese Datei im Browser aufrufen und man sieht alle Mysql Zugangsdaten. Weiss vielleicht jemand von euch, ob diese Lücke behoben wird(oder ob daran gearbeitet wird?) lg,Daniel ## Antworten ### [#2](https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3/2) · humpun · 2005-08-02 Hehe, irgendwo müssen die Daten stehen, ob verschlüsselt oder nicht;) Das ist keien SIcherheitslücke, bei phpBB z.B. ist es genauso. Änder / Pass den chmode der Datei an und dann kann dir auch nichts pasiseren. humpun ### [#3](https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3/3) · woida · 2005-08-02 Das mit dem chmod wird wohl nix bringen: wenn du dem Webserver die Leserechte für die Datei entziehst, damit er sie nicht mehr ungeparst ausliefern kann, kann er sie auch nicht mehr lesen, wenn PHP funktioniert... ### [#4](https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3/4) · petewulf · 2005-08-02 Hallo humpun, Der chmod würde hier ja nichts bringen, da die Dateien ja vom Browser aufgerufen werden müssen und es reichen schon Leserechte um die Daten anzuzeigen. Ich speichere bei selbst erstellten Php+Mysql Seiten die Benutzerdaten immer in einer Include-Datei, die in einem vom Web aus nicht zugänglichen Verzeichnis liegen. So ist zumindest einmal die 0815-Methode über die Einsicht des Webbrowsers nicht gegeben. lg, Daniel ### [#5](https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3/5) · humpun · 2005-08-02 Ich wieß nicht wo das Prob ist, man kann es so machen wie du es machst, ich crypte das eingegebene PW mit MD5 und der Hash wird von Typo3 selbst gemacht und iunterstützt. Install -> password crypten klicken udn die localconf abspeichern. Problem gelöst. humpun ### [#6](https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3/6) · petewulf · 2005-08-02 Hallo humpun, > **humpun schrieb:** > > Ich wieß nicht wo das Prob ist, man kann es so machen wie du es machst, ich crypte das eingegebene PW mit MD5 und der Hash wird von Typo3 selbst gemacht und iunterstützt. > > Install -> password crypten klicken udn die localconf abspeichern. > > Problem gelöst. Du meinst das Passwort, das ich festlege manuell mit MD5 verschlüsseln und anschliessend den Hash direkt selbst in die localconf.php eintragen? lg, Petewulf ### [#7](https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3/7) · McPringle · 2005-11-08 Nur mal so nach langer Zeit als Hinweis, wie ich das gelöst habe: Einfach per .htaccess den Zugriff auf diese Datei verbieten! Schon kann sie nicht mehr vom Browser angefordert werden ist jedoch weiterhin vorhanden und kann von Typo3 problemlos genutzt werden. McPringle ### [#8](https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3/8) · akonze · 2005-11-08 Wer ein sicheres System haben will, sollte sich sowieso nie allein auf ein PHP Script verlassen. Jeder sollte seinen Server durch .htaccess (falls nötig den gesamten Adminbereich eines Scripts) und auch durch robots.txt absichern. Letzteres nicht vergessen, sonst kann man sein Passwort irgendwann sogar im Google Cache lesen... :o ### [#9](https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3/9) · woida · 2005-11-09 Seit wann ist den die robots.txt ein Schutz? Ich frage mich auch, wie google auf die Idee kommen soll die localconf.php zu indizieren? Verlinkst du auf die Datei in deinen Seiten? Und selbst wenn, würds ein paar Tage dauern, bis die Datei in den Cache kommt und wenn solange dein Server PHP-Skripte nicht interpretiert, hast du ganz andere Probleme... --- Quelle: „Sicherheitslücke in Typo3“, typo3.net, https://www.typo3.net/d/28081-sicherheitsluecke-in-typo3 Beiträge von Mitgliedern des Forums. Bitte mit Link auf die Diskussion zitieren.