Hackerangriffe auf Webseiten

[FourSix]

Mir geht es eigentlich darum, dass nicht durch Variablen einer ein Systembefehl ausführt und somit Dateien löscht.

durch Variablen kann keiner einen Systembefehl ausführen solange Du nicht

eval($variable) oder passthru($var) irgendwo einbaust!

[|Coding]

eine beliebige funktion von aussen (im browser) aus aufzurufen ist eh nicht möglich (über die url zumindest).

[FourSix]

Wenn ich also nirgends eval oder passthru verwende, kann keiner mir Dateien löschen (solang man nicht per FTP an die Daten kommt) und wenn keiner mein htaccess knackt bin ich sicher?

Dem würde ich zustimmen. Selbst wenn er .htaccess knackt heißt das noch lange nicht das er Dateien löschen kann - nur wenn halt ein Script hinter .htaccess ist, mit dem man dann Dateien löschen kann kann ein Angreifer was machen!

[|Coding]

ich kann mir gut vorstellen das, wenn es einer schafft die .htaccess zu knacken, dann sollte auch anderes agieren auf dem server für diesen user kein problem sein, da muss nicht unbedingt ein script sein. das würde es sicher nur leichert machen.

[FourSix]

thx für alle Antworten! Damit fühle ich mich auf der sicheren Seite!

Ach übrigens, ich muß schon sagen, hier bekommt man kompetente Antworten in kürzester Zeit!!!

Respekt, kennt man nicht von vielen Foren!

[c4]

Noch ein Tippchen: Wenn Du auf Deiner Homepage ein Uploadskript hast, dann schütze das! So ein Skript ist das Paradies für jeden Angreifer auf jeder Website!
Es ist schließlich ein leichtes eine Datei hochzuladen, welche dann alle Rechte hat - außer das Skript nimmt der Datei automatisch alle (hab ich noch nicht vorgefunden;) Es hilft auch nicht Dateien mit der Endung .php zu verbieten: Meist klappt ein boesesskript.php?x=gif aus, um das Uploadskript zu überlisten!
Also: Vorsichtig sein mit sowas!

Ein kleiner historischer Rückblick: Bei den Communities von cassiopeia war es möglich E-Mails an Mitglieder zu verschicken, die im Anhang ein Java-Applet hatten. Wurde die Mail angezeigt führte sich dieses Applet auf dem Server aus und verschickte die aktuelle SessionID des Nutzers an die Person, von der die Mail kommt. Somit hatte dieser alle Rechte mit diesem Nick.
Dieser Bug wurde inzwischen behoben, weshalb ich mir eine Veröffentlichung unter |Codings wachsamen Auge erlaube. ;)

[|Coding]

Original geschrieben von _c_4_
Ein kleiner historischer Rückblick: Bei den Communities von cassiopeia war es möglich E-Mails an Mitglieder zu verschicken, die im Anhang ein Java-Applet hatten. Wurde die Mail angezeigt führte sich dieses Applet auf dem Server aus und verschickte die aktuelle SessionID des Nutzers an die Person, von der die Mail kommt. Somit hatte dieser alle Rechte mit diesem Nick.
Dieser Bug wurde inzwischen behoben, weshalb ich mir eine Veröffentlichung unter |Codings wachsamen Auge erlaube. ;)

da wollen wir ja man nicht so sein. schwein gehabt :-)

[FourSix]

@c4 und wie kann ich ein Upload-Script schützen, ausser bestimmte Endungen zu erlauben?
Wie ist es mit dem WoltlabBurningBoard2 ist dort auch dieser Bug?