Wie soll denn ein Skript, daß über php_page_content ausgeführt wird, Zugriff auf die Datenbank haben?
Wenn ich doch mit Steffens Skript an User und Password komme, ist das doch kein Problem mehr! Damit kann ich doch eine mysql Verbindung öffnen!
Ist das nicht ein riesiges Sicherheitsloch ?
also es ist so, das ich das natürlich in der devlist gepostet habe aber dort wird das nicht als Problem gesehen.
Grund:
Wenn man php_page_content nutzt, kann man auch die Typo-DBFunktionen nutzen und da kann man auch nach belieben löschen etc.
Das Sicherheitsrisiko ist also php_page_content, das einem vollen Zugriff aufs System eröffnet.
Das sollte man wissen und sehr vorsichtig mit den Rechten umgehen, diese Extension auf keinen Fall potentiellen Unbekannten zur Verfügung stellen.
Ich habe das wohl eher als Sicherheitsrisiko gesehen als die Entwickler. Mir ist hier vor allem die Aufklärung wichtig - wie schnell wird in der Praxis mal ein Useraccount erstellt und nicht genau nach den Rechten geschaut. Also Vorsicht !
Nachtrag: Kasper himself hat folgendes Statement dazu abgegeben:
No, Steffen, that is not a security problem.
The problem is that you allow someone to execute PHP. *any* execution
of PHP compromises security completely. This is for instance the
reason why TypoScript Templates can only (and should only!!) be
edited by admin-users because TypoScript allows them to include PHP
scripts.
Tetramatrix schriebWenn ich doch mit Steffens Skript an User und Password komme, ist das doch kein Problem mehr! Damit kann ich doch eine mysql Verbindung öffnen!
Das ist ja der eigentliche Sinn, daß ich mit php_page_content auch Zugriff auf die Typo3-Datenbank habe, sonst könnte ich mit der Extension wenig anstellen.
Übrigends: Wenn ich eine Extension schreibe, habe ich auch Zugriff auf diese Variablen. Wer hindert zb. den Autor von htmlarea dann dran, die zb. zu vermailen?
und da sprichst Du einen weiteren Grund an, warum Extensions eigentlich ein Gütesiegel bräuchten (sowas gibt es ja schon, aber keiner pflegts so richtig). Stell Dir vor eine grosse Firma setzt Typo3 ein und dann gibts ne Spionage-Extension ...
steffenk schriebStell Dir vor eine grosse Firma setzt Typo3 ein und dann gibts ne Spionage-Extension ...
Naja drum sollte auch jede Extension, die einem unbekannt ist, vorher auf Testsystem getestet werden und genauer betrachtet werden!
Stell dir vor du hast eine große Firma und niemand sperrt das Tor ab....
Sehe jetzt auch nicht das Problem ehrlich gesagt, denn jeder mit Zugriff auf das Backend hat ein offenes System vor sich. Ober er es über den Extensionmanager oder Typoscript hackt ist ja irrelevant. Drum gilt es in erster Linie, den Zugang zum Backend zu schützen (Pfad umbenennen, admin user disablen, .htaccess etc pp).
-act
actraiser schriebSehe jetzt auch nicht das Problem ehrlich gesagt, denn jeder mit Zugriff auf das Backend hat ein offenes System vor sich.
aber auch nur wenn er admin ist oder eben exts wie die php content zur verfügung hat. Sonst sicher nicht!
georg
just2b schriebaber auch nur wenn er admin ist oder eben exts wie die php content zur verfügung hat. Sonst sicher nicht!
Mal davon abgesehen, daß der "admin"-account am einfachsten zu hacken ist, weil dieser oft nicht disabled wird und die Passwörter in der Regel bescheiden sind, ist es doch wie bei Windows, daß viele Backenduser mit Admin-Rechten ausgestattet sind, damit man nicht gross konfigurieren muss. :-)
Daher sage ich mal, sitzt das Sicherheitsrisiko wie so oft vor dem Monitor.
-act
actraiser schriebMal davon abgesehen, daß der "admin"-account am einfachsten zu hacken ist, weil dieser oft nicht disabled wird und die Passwörter in der Regel bescheiden sind,
bei dir vielleicht. Bei meinen Kunden nicht, denn erstens gibts keinen "admin", "administrator" als username und 2. keine einfachen pws
actraiser schriebist es doch wie bei Windows, daß viele Backenduser mit Admin-Rechten ausgestattet sind, damit man nicht gross konfigurieren muss. :-)
Das machst du vielleicht, ich bin nicht so wahnsinnig und jeder professionelle macht das auch nicht so
lg georg
Warum diese Anfeindung mit "dir" und "du" ? Das macht doch überhaupt keinen Sinn im Kontext zu dem was ich schrieb.
Sehr viele TYPO3-Projekte sind nunmal unzureichend abgesichert, weil per Default keine Sicherheit aufgewzungen wird, ausser ein Warnhinweis. Nutzer sind faul, die Backends stehen himmelweit offen. Hinzu kommen unprofessionelle Dienstleister (ich verweise auf das Job-Forum, mit zuletzt einem klassischen Eintrag zum Thema :-) )
Ich wäre im Übrigen ziemlich baff, wenn ein Moderator eines Typo3-Forums die gleichen Fehler machen würde, von daher war der Hinweis, dass dir das nicht passiert, unnötig.
-act
actraiser schriebWarum diese Anfeindung mit "dir" und "du" ? Das macht doch überhaupt keinen Sinn im Kontext zu dem was ich schrieb.
Sorry war mit Sicherheit nicht persönlich gemeint!
Du hast schon das richtige angesprochen, der Dienstleister ist im großen Maße für die Sicherheit des BE zuständigs, denn dieser muss zum einem richtig schulen und zum anderen die Accounts richtig einrichten und genau auf diesen Punkt bin ich im vorigen Posting eingangen.
lg georg