Seite 2 von 2
Verfasst: 20.03.2005 00:43
von yks
Wenn Du sichergehen willst, mach am besten die Änderung aus der CVS.
urgs - irritiert mich 'etwas' + mich frage was dann besser ist...
cvs, dh lt knowledge-base entwicklerstatus, wird nicht unbedingt empfohlen, etc.
aber andererseits, wenn das === nicht die oben beschriebene lücke stopft, dann ist das doch ein sicherheitsloch ?!
ich bin zwar nicht fit im hacken, aber kapiere beim lesen so viel, daß wer ein bißchen mehr ahnung hat, dort doch zt die perfekte anleitung findet, wie man diese lücke nutzen kann. *graus*
hm, kann doch nicht sein - ?
*nicht verstehe + mich über erklärung freuen würde, yks
Verfasst: 20.03.2005 01:15
von Budman
Deshalb solltest Du beide Sachen einbauen (also === und den Fix). Sicher ist eben sicher
Im übrigen schaden kann es doch auch nicht, oder?
Verfasst: 20.03.2005 03:22
von yks
Im übrigen schaden kann es doch auch nicht, oder?
das kann ich schlecht beurteilen :
Die CVS-Versionen von phpBB stellen immer die jeweils aktuellste Entwicklungsversion dar. Diese ist jedoch nicht unbedingt Fehler- und Bug-frei und wird NICHT zum Einsatz empfohlen!
eben das verstehe ich ja nicht, da ansonsten sicherheitslücken doch gut und sicher gefixt werden - aber hier scheint beides ein risiko zu sein, oder ?
Verfasst: 20.03.2005 10:16
von Christian_W
Also nochmal genauer:
Ich denke, dass auf php.de nicht die aktuelle Version im Einsatz war als sie "gehackt" wurden. Der "Hacker" zeigt in dem Thread nicht gerade viel Sachverstand.
Unabhängig davon gibt es eine mögliche Lücke die in der CVS bereits geschlossen ist. Diese wird aber von den Entwicklern von phpbb nicht so kritisch eingestuft, dass es ein Update rechtfertigen würde.
Ich hab mal versucht mein Cookie zu ändern und konnte trotzdem keine versteckten Benutzer auf dem Index sehen. Vieleicht hab ich auch etwas vergessen und es hat deshalb nicht geklappt.
Wie dem auch sei, die (mögliche) Lücke wird mit dem nächsten update auf genau diese Weise geschlossen:
Code: Alles auswählen
----- öffne -----
includes/sessions.php
----- finde (2x) -----
$user_id = $userdata["user_id"] = ANONYMOUS;
----- füge danach ein -----
$sql = "SELECT * FROM " . USERS_TABLE . " WHERE user_id = " . ANONYMOUS;
$result = $db->sql_query($sql);
$userdata = $db->sql_fetchrow($result);
$db->sql_freeresult($result);
Zunächst mal ist das ja der Code der bereits aktuellen Version und nicht der von Olympus.
Zum anderen installierst Du ja nicht die ganze CVS sondern nutzt nur den Fix der sowieso irgendwann kommt.
Gruß Christian
Verfasst: 21.03.2005 01:27
von yks
dank dir christian !
daß der fix bleibt, nicht wußte.
merci :))