Smart Guestbook für xt:Commerce 3.04SP2.1 mit grober Sicherheitslücke November 3. 2009

Seit einiger Zeit entwickele ich an einer Online Shop Software mit. Dabei stolpert man immer mal wieder Berichte über gehackte Online-Shops. So auch heute. In dem Shop ist das Modul "Smart Guestbook für xtcommerce 304sp21" eingebaut gewesen. Das Gästebuch - Modul für XTC Shop verwendet eine eigene guestbook.php, die über den Content Manager des Online Shop Systems eingebunden wird.




Mit dieser Datei des "Smart Guestbook" reisst man eine Sicherheitslücke in sein Online Shop System. Wie das?

Nach dem Hinweis habe ich mir das Smart Guestbook für XTC von optima-software.de bzw. von xtc-load.de heruntergeladen. Beide Versionen enthalten die Sicherheitslücke, durch die eine SQL-Injection ermöglicht wird: Die übergebenen Parameter aus der URL werden bedenkenlos im Code weiterverwendet ...

$id= $_GET['gbID'];

muss unbedingt mit einem Typecast versehen werden:

$id = (int)$_GET['gbID'];

Dadurch kann in dem Code des XTC-Gästebuch Moduls nur noch ein Integer Wert in der Variablen $id stehen, aber keine Strings (mit SQL - Befehlen) mehr. Auch der Parameter für die Content ID sollte mit einem Typecast versehen werden. Das wahr früher in XTC - Online Shops immer eine Sicherheitslücke. In dem Smart Guestbook wird der Parameter zwar nicht in SQL Befehlen verwendet, aber sauberer ist es ... ;-)

Tags für diesen Artikel: , , ,
Artikel mit ähnlichen Themen:
XTCsid aus Google Cache entfernen - 3 einfache Tipps
Bastelshop - Wandschablonen und so

Als PDF ansehen: Dieser Artikel | Dieser Monat | Vollständiges Blog
Mike Küsterin Allgemein   Dienstag, November 3. 2009 @ 13:53
5 Kommentare Link zum Eintrag

Trackbacks
Trackback für spezifische URI dieses Eintrags

Keine Trackbacks

Kommentare
Ansicht der Kommentare: (Linear | Verschachtelt)

Hallo Mike,
ich kenne mich zwar gut mit SQL aber weniger mit PHP aus.
Wo muss ich den Typecast einbauen?

Dieter
#1 Dieter am 08.11.2009 14:39 (Antwort)
Hi Dieter,
ich habe die Dateien schon wieder gelöscht. Den Fehler hatte ich der "guestbook" Datei gefunden ... (Komplett-Download von xtc-load). Was ist, wenn Du nur nach $_GET['gbID'] suchst?
#1.1 Mike Küster am 08.11.2009 15:15 (Antwort)
Hallo Mike,
die Suche findet nichts. Das ist ja das was ich nicht verstehe. Ich hatte schon in der guestbook.php gesucht, aber dort nichts gefunden.

Gruß Dieter
#1.1.1 Dieter am 08.11.2009 15:20 (Antwort)
Hm, bist Du sicher, dass Du die "richtige" Gästebuch Datei angeschaut hast? Ich habe das XTC Gästebuch gerade noch mal heruntergeladen: /media/content/guestbook.php

Such mal da drin ;-)

Ciao,
Mike
#1.1.1.1 Mike Küster am 08.11.2009 18:53 (Antwort)
Danke das wars. Hab' im Verzeichnis admin in die guestbook.php reingeschaut.

Danke Dieter
#2 Dieter am 08.11.2009 19:22 (Antwort)


Kommentar schreiben

Umschließende Sterne heben ein Wort hervor (*wort*), per _wort_ kann ein Wort unterstrichen werden.
Standard-Text Smilies wie :-) und ;-) werden zu Bildern konvertiert.
Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.

Um maschinelle und automatische Übertragung von Spamkommentaren zu verhindern, bitte die Zeichenfolge im dargestellten Bild in der Eingabemaske eintragen. Nur wenn die Zeichenfolge richtig eingegeben wurde, kann der Kommentar angenommen werden. Bitte beachten Sie, dass Ihr Browser Cookies unterstützen muss um dieses Verfahren anzuwenden.
CAPTCHA

 
 
 
 

Als PDF ansehen: Dieser Artikel | Dieser Monat | Vollständiges Blog