Download MOD

[Overhead]

Hallo Leute,


schaut mal bitte in den Thread dort auf phpbb.com

http://www.phpbb.com/community/viewtopi ... &start=195

bevor Ihr den weiter verbaut.

cu Overhead

[mreuropa]

@oxpus

wie weit bist du schon mit dem Mod?

[oxpus]

Weiter als gestern.

Ich dokumentiere meine Fortschritte auf http://phpbb3.oxpus.net
Mehr sage ich dazu nicht.

[redbull254]

@oxpus

wird doch, der Anfang ist gemacht. Wir freuen uns auf die Fertigstellung.

Ich warte besonders darauf, nachdem ich File Base wegen einem Sicherheitsloch in Akkordarbeit deinstallieren musste.

[Viper77]

Es wird diesen Monat ein neues Release des Filebase Mods geben.
Dort wird dann auch ein Security update eingebaut sein.

Das Problem tritt aber bei jedem MOD auf der mit $_GET oder $_POST arbeitet

[oxpus]

Allerdings dann nur, wenn man die Werte aus der Übernahme auch immer direkt verwendet, bzw. in SQL-Statements einbaut, ohne diese zu prüfen.

Ich verwende diese Super Globals im Download MOD zwar auch (geht manchmal nicht anders), prüfe diese aber intensiv, damit eben keine "Einbrüche" erfolgen können.
Somit wird an jeder Stelle das betreffende Script immer abgedichtet...

Und zur Konvertierung:
Ich bin eben dabei.
Ob der angepeilte Zeitraum Ende April zu halten ist, lässt sich nur schwer sagen, da permanent Kundenaufträge dazwischen kommen...

[redbull254]

Hi, oxpus

Ob der angepeilte Zeitraum Ende April zu halten ist, lässt sich nur schwer sagen, da permanent Kundenaufträge dazwischen kommen...

Nur keine "Schnellschüsse", lieber bissel später, als unsicher.

[oxpus]

Keine Angst, ich lasse mich nicht hetzen ...

[Viper77]

@oxpus: Ich geb Dir vollkommen recht. Aber phpbb3 gibt inzwischen gute Möglichkeiten dies abzufangen. mit der request_var funktion kann man einiges machen.

[oxpus]

Klar, kenne ich.
Mit request_var() übernehme ich ja auch schon 99,5 % der Daten.
Wenn ich allerdings nur das Vorhandensein einer Variable/eines Wertes prüfe (für eine einfache Bedingung) oder Arrays übernehme, fahre ich den "alten" Weg, sprich direkt aus $_POST heraus. $_GET lasse ich komplett links liegen; macht auch z. B. bei Formularen, wo ich u. a. Arrays übergebe, keinen Sinn.

Wie allerdings phpBB 3 mit Array-Werten umgeht, um diese mit request_var zu übernehmen, hat sich mir noch nicht erschlossen. Also genauer: Ich verwende solche Input-Konstrukte (beispielsweise):

Code: Alles auswählen

<input type="text" name="id[]" value="{ID}" />

Und das kann ich so, warum auch immer, mit request_var('id', array()); nicht übernehmen. Über das "warum" hatte ich mich dann auch schnell nicht mehr gekümmert und zunächst eben nach der "alten" Methode übernommen, um in der Konvertierung selber voran zu kommen.

Ich werde das aber nach der Konvertierung als solches noch einmal genauer untersuchen, um meinen Aufbau darauf hin anzupassen.
Wenn hier jemand schon mit diesen Angaben meinen Fehler im Ansatz erkennt... Nur her mit der Lösung...

Ich übernehme so also direkt aus $_POST die einzelnen Arrays (sind in Summe glaub ich nur 3 im ganzen MOD) und verarbeite die dann anschliessend in einer Schleife mit intval();, um hier saubere Zahlen zu erhalten, bevor diese in ein SQL-Statement landen.
Aber dennoch bin ich (und hier bin ich klar auf der Seite der Entwickler) damit nicht zufrieden, wie es halt noch gelöst ist, aber ich bin ja auch noch in der Entwicklung.

Wobei ich rein vom logischen her mit "meiner" Methode keine Sicherheitslücke daran erkennen kann, aber besser wäre eben klar die Methode, die im phpBB 3 bereits vorhanden ist, um bei zukünftigen Sicherheitsupdates diese auch zentral behoben zu bekommen.

Naja, irgendwann werde ich das auch verstanden haben, wie das zu machen ist (oder jemand anderes greift mir hier unter die Arme) und dann stelle ich den MOD an den entsprechenden Stellen darauf um...