Smart Guestbook für xt:Commerce 3.04SP2.1 mit grober Sicherheitslücke November 3. 2009

Seit einiger Zeit entwickele ich an einer Online Shop Software mit. Dabei stolpert man immer mal wieder Berichte über gehackte Online-Shops. So auch heute. In dem Shop ist das Modul "Smart Guestbook für xtcommerce 304sp21" eingebaut gewesen. Das Gästebuch - Modul für XTC Shop verwendet eine eigene guestbook.php, die über den Content Manager des Online Shop Systems eingebunden wird.




Mit dieser Datei des "Smart Guestbook" reisst man eine Sicherheitslücke in sein Online Shop System. Wie das?

Nach dem Hinweis habe ich mir das Smart Guestbook für XTC von optima-software.de bzw. von xtc-load.de heruntergeladen. Beide Versionen enthalten die Sicherheitslücke, durch die eine SQL-Injection ermöglicht wird: Die übergebenen Parameter aus der URL werden bedenkenlos im Code weiterverwendet ...

$id= $_GET['gbID'];

muss unbedingt mit einem Typecast versehen werden:

$id = (int)$_GET['gbID'];

Dadurch kann in dem Code des XTC-Gästebuch Moduls nur noch ein Integer Wert in der Variablen $id stehen, aber keine Strings (mit SQL - Befehlen) mehr. Auch der Parameter für die Content ID sollte mit einem Typecast versehen werden. Das wahr früher in XTC - Online Shops immer eine Sicherheitslücke. In dem Smart Guestbook wird der Parameter zwar nicht in SQL Befehlen verwendet, aber sauberer ist es ... ;-)

Tags für diesen Artikel: , , ,
Artikel mit ähnlichen Themen:
Webs - Online Shop Software
TCPDF Performance -> Output ist langsam?
XTCsid aus Google Cache entfernen - 3 einfache Tipps
Bastelshop - Wandschablonen und so

Als PDF ansehen: Dieser Artikel | Dieser Monat | Vollständiges Blog
Mike Küsterin Allgemein   Dienstag, November 3. 2009 @ 13:53
12 Kommentare Link zum Eintrag

Trackbacks
Trackback für spezifische URI dieses Eintrags

Keine Trackbacks

Kommentare
Ansicht der Kommentare: (Linear | Verschachtelt)

Hallo Mike,
ich kenne mich zwar gut mit SQL aber weniger mit PHP aus.
Wo muss ich den Typecast einbauen?

Dieter
#1 Dieter am 08.11.2009 14:39 (Antwort)
Hi Dieter,
ich habe die Dateien schon wieder gelöscht. Den Fehler hatte ich der "guestbook" Datei gefunden ... (Komplett-Download von xtc-load). Was ist, wenn Du nur nach $_GET['gbID'] suchst?
#1.1 Mike Küster am 08.11.2009 15:15 (Antwort)
Hallo Mike,
die Suche findet nichts. Das ist ja das was ich nicht verstehe. Ich hatte schon in der guestbook.php gesucht, aber dort nichts gefunden.

Gruß Dieter
#1.1.1 Dieter am 08.11.2009 15:20 (Antwort)
Hm, bist Du sicher, dass Du die "richtige" Gästebuch Datei angeschaut hast? Ich habe das XTC Gästebuch gerade noch mal heruntergeladen: /media/content/guestbook.php

Such mal da drin ;-)

Ciao,
Mike
#1.1.1.1 Mike Küster am 08.11.2009 18:53 (Antwort)
Danke das wars. Hab' im Verzeichnis admin in die guestbook.php reingeschaut.

Danke Dieter
#2 Dieter am 08.11.2009 19:22 (Antwort)
Ich habe leider noch folgendes Problem: Nach dem Posten wird
"Message was not sent
Mailer Error: Mail Funktion konnte nicht initialisiert werden."
angezeigt. Der Post erscheint allerdings im Gästebuch.

Wie kommt es dazu?
#3 Nils am 15.12.2011 17:10 (Antwort)
Hallo Nils,
sorry, seit 2009 habe ich da nicht mehr wirklich reingesehen. Was hast Du denn genau gemacht? Hast Du das Modul in einen originalen XTC 3.0.4 oder einen Fork eingebaut?

Offensichtlich gibt es einen Fehler im PHP Mailer. Das ist so, ohne Glaskugel schwierig ;-)

Ciao,
Mike
#3.1 Mike Küster am 15.12.2011 17:24 (Antwort)
Wow, die Antwort kam aber schnell!
Vielen Dank schonmal.

Und zuerst einmal: Ich bin eigentlich ein Amateur im Bereich programmierung und hoste nur "zufälligerweise" einige XTC Shops.
Das Gästebuch soll in einen Shop der neuesten xtc:modified-Version eingebaut werden.
Was genau brauchst du für Informationen? Und drücke dich am besten möglichst simpel aus, dann verstehe ich auch vielleicht was du meinst :-)

Nochmals vielen Dank für deine Hilfe, mir ist klar, dass sowas nicht selbstverständlich ist.

MfG
#3.1.1 Nils am 16.12.2011 13:13 (Antwort)
Ich habe dieses Problem nochmal in folgendem Forum genauer beschrieben:

http://www.xtc-modified.org/forum/index.php?topic=17421.new#new

Das wäre dann etwas viel für die Kommentare eines Blogs, oder? ;-)
#3.1.2 Nils am 16.12.2011 13:28 (Antwort)
Diesmal hat die Antwort etwas gedauert, dazu macht xtcModified gerade mal "Wartungspause" ...
Konntest Du Das Problem schon lösen?
#3.1.2.1 Mike Küster am 18.12.2011 21:00 (Antwort)
Hallo!

Das ist absolut kein Problem.
Leider konnte ich das Problem bisher noch nicht lösen. Im Forum gabs bisher auch keine weitere Hilfe. Außer das der Artikel nun unter folgendem Link zu erreichen ist:
http://www.xtc-modified.org/forum/index.php?topic=3797.msg164480#msg164480

MfG
#3.1.2.1.1 Nils am 20.12.2011 16:51 (Antwort)
Hallo Nils,
funktionieren denn die normalen Shop - E-Mails? Dann liegt vielleicht an einem Update der PHP-Mailer Klasse?
Im Zweifelsfall hilft da nur ein komplettes debuggen. Um herauszufinden was genau passiert, welcher Befehl mit welchen Parametern den Fehler auslöst ...
Wenn Du dabei Support benötigst, schick mir eine E-Mail an mike at xantiva punkt de ...

Ciao,
Mike
#3.1.2.1.1.1 Mike Küster am 25.12.2011 22:35 (Antwort)


Kommentar schreiben

Umschließende Sterne heben ein Wort hervor (*wort*), per _wort_ kann ein Wort unterstrichen werden.
Standard-Text Smilies wie :-) und ;-) werden zu Bildern konvertiert.
Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.

Um maschinelle und automatische Übertragung von Spamkommentaren zu verhindern, bitte die Zeichenfolge im dargestellten Bild in der Eingabemaske eintragen. Nur wenn die Zeichenfolge richtig eingegeben wurde, kann der Kommentar angenommen werden. Bitte beachten Sie, dass Ihr Browser Cookies unterstützen muss um dieses Verfahren anzuwenden.
CAPTCHA

 
 
 
 

Als PDF ansehen: Dieser Artikel | Dieser Monat | Vollständiges Blog