Selbst wenn man nicht Admin ist, kann man im Content durch das php-skript die DB-Zugangsdaten erfahren:
<?php echo "User / Passwort: ".TYPO3_db_username." / ".TYPO3_db_password; ?>
Wie bewertet ihr das ?
Ist das nicht ein riesiges Sicherheitsloch ?
bei mir funktioniert das nicht. wie hast du das hingekriegt?
in php_page_content eingetragen, im HTML-Element geht das wohl nicht.
Aber sicher gibts auch Wege, das irgendwie im PageTS einzubinden, man muss ja nur die richtigen icludes nutzen.
hab ich gar nicht php_page_content? muß man das extra installieren?
ja, das ist eine Ext um php-skripte als ContentElement auszuführen
steffenk schriebSelbst wenn man nicht Admin ist, kann man im Content durch das php-skript die DB-Zugangsdaten erfahren:
...
Rhetorische Frage:
Ich nehme an, Du hast das zuallererst der entsprechenden Typo3 Usergroup gemeldet damit die sich damit befassen und Stellung nehmen, es Dir womöglich erklären, bzw. sonst irgendwas tun können, bevor Du diese nette Anleitung hier in alle Welt hinausposaunt hast?
Wenn es wirklich so ein grosses Sicherheitsloch ist, warum wirds dann nicht vorruebergehend von einem Moderator unkenntlich gemacht?
Patrick S. schriebWenn es wirklich so ein grosses Sicherheitsloch ist, warum wirds dann nicht vorruebergehend von einem Moderator unkenntlich gemacht?
Warum sollte ein Moderator denn sein eigenes Posting unkenntlich machen? 😉 😉 😉
Weil er vielleicht selber nicht daran gedacht hat, dafuer koennte das ja ein Kollege uebernehmen. 🙂
Moechte gerne Schlimmeres vermeiden.
Sehe ich nicht als direktes Sicherheitsloch.
Wie soll denn ein Skript, daß über php_page_content ausgeführt wird, Zugriff auf die Datenbank haben? Ich könnte einen weiteren DB-Nutzer anlegen und den dann in Klartext in php_page_content schreiben....
Vielmehr sollte man sich überlegen, wem man Zugriff auf php_page_content gibt.
In vielen Konfigurationen wird man auch nicht an einem exec('rm -rf *') gehindert, was ich für kritischer halte.
Sehe ich eigentlich aehnlich, allerdings ist mir nicht bekannt, wie der Themen-Starter seine Benutzerrechte verwaltet bzw. wer was auf seinem Typo3-System darf.
Was sicherlich auch bei anderen Typo3-Anwendern zutreffen koennte.
Wie soll denn ein Skript, daß über php_page_content ausgeführt wird, Zugriff auf die Datenbank haben?
Wenn ich doch mit Steffens Skript an User und Password komme, ist das doch kein Problem mehr! Damit kann ich doch eine mysql Verbindung öffnen!
also es ist so, das ich das natürlich in der devlist gepostet habe aber dort wird das nicht als Problem gesehen.
Grund:
Wenn man php_page_content nutzt, kann man auch die Typo-DBFunktionen nutzen und da kann man auch nach belieben löschen etc.
Das Sicherheitsrisiko ist also php_page_content, das einem vollen Zugriff aufs System eröffnet.
Das sollte man wissen und sehr vorsichtig mit den Rechten umgehen, diese Extension auf keinen Fall potentiellen Unbekannten zur Verfügung stellen.
Ich habe das wohl eher als Sicherheitsrisiko gesehen als die Entwickler. Mir ist hier vor allem die Aufklärung wichtig - wie schnell wird in der Praxis mal ein Useraccount erstellt und nicht genau nach den Rechten geschaut. Also Vorsicht !
Nachtrag: Kasper himself hat folgendes Statement dazu abgegeben:
No, Steffen, that is not a security problem.
The problem is that you allow someone to execute PHP. *any* execution
of PHP compromises security completely. This is for instance the
reason why TypoScript Templates can only (and should only!!) be
edited by admin-users because TypoScript allows them to include PHP
scripts.
Tetramatrix schriebWenn ich doch mit Steffens Skript an User und Password komme, ist das doch kein Problem mehr! Damit kann ich doch eine mysql Verbindung öffnen!
Das ist ja der eigentliche Sinn, daß ich mit php_page_content auch Zugriff auf die Typo3-Datenbank habe, sonst könnte ich mit der Extension wenig anstellen.
Übrigends: Wenn ich eine Extension schreibe, habe ich auch Zugriff auf diese Variablen. Wer hindert zb. den Autor von htmlarea dann dran, die zb. zu vermailen?
und da sprichst Du einen weiteren Grund an, warum Extensions eigentlich ein Gütesiegel bräuchten (sowas gibt es ja schon, aber keiner pflegts so richtig). Stell Dir vor eine grosse Firma setzt Typo3 ein und dann gibts ne Spionage-Extension ...
steffenk schriebStell Dir vor eine grosse Firma setzt Typo3 ein und dann gibts ne Spionage-Extension ...
Naja drum sollte auch jede Extension, die einem unbekannt ist, vorher auf Testsystem getestet werden und genauer betrachtet werden!
Stell dir vor du hast eine große Firma und niemand sperrt das Tor ab....
Sehe jetzt auch nicht das Problem ehrlich gesagt, denn jeder mit Zugriff auf das Backend hat ein offenes System vor sich. Ober er es über den Extensionmanager oder Typoscript hackt ist ja irrelevant. Drum gilt es in erster Linie, den Zugang zum Backend zu schützen (Pfad umbenennen, admin user disablen, .htaccess etc pp).
-act
actraiser schriebSehe jetzt auch nicht das Problem ehrlich gesagt, denn jeder mit Zugriff auf das Backend hat ein offenes System vor sich.
aber auch nur wenn er admin ist oder eben exts wie die php content zur verfügung hat. Sonst sicher nicht!
georg
just2b schriebaber auch nur wenn er admin ist oder eben exts wie die php content zur verfügung hat. Sonst sicher nicht!
Mal davon abgesehen, daß der "admin"-account am einfachsten zu hacken ist, weil dieser oft nicht disabled wird und die Passwörter in der Regel bescheiden sind, ist es doch wie bei Windows, daß viele Backenduser mit Admin-Rechten ausgestattet sind, damit man nicht gross konfigurieren muss. :-)
Daher sage ich mal, sitzt das Sicherheitsrisiko wie so oft vor dem Monitor.
-act
actraiser schriebMal davon abgesehen, daß der "admin"-account am einfachsten zu hacken ist, weil dieser oft nicht disabled wird und die Passwörter in der Regel bescheiden sind,
bei dir vielleicht. Bei meinen Kunden nicht, denn erstens gibts keinen "admin", "administrator" als username und 2. keine einfachen pws
actraiser schriebist es doch wie bei Windows, daß viele Backenduser mit Admin-Rechten ausgestattet sind, damit man nicht gross konfigurieren muss. :-)
Das machst du vielleicht, ich bin nicht so wahnsinnig und jeder professionelle macht das auch nicht so
lg georg