Thema: Akobook unsicher?

Zitat von Zatti

Seit gestern Abend versuchen verschiedene Seiten über die URL:
/component/option,com_akobook/Itemid,64/func,sign/
auf meine Seite zuzugreifen.
Ich nutze Akobook 3.42 mit Badwords und Spamschutz. Gibt es hier eine Sicherheitslücke?

Nunja, wahrscheinlich ist es eher ein versuch Spambeiträge zu posten, aber ich denke defintiv, dass es im Book die ein oder andere Sicherheitslücke gibt.

Gruß Snipy

Zitat von Zatti

@snipersister: Welche Version des Spamschutzes (akobook_spamfix) ist aktuell im AkoBook eingebaut?

Ohwe, da frag mich was leichteres, steht theoretisch irgendwo am Anfang der akobook.php

Gruß Snipy

In meiner Version von AkoComment steht gleich in Zeile 14:

Code:

  defined( '_VALID_MOS' ) or die( 'Direct Access to this location is not allowed.' );

Sieht so aus, als würde Arthur Konze sein Handwerk verstehen...

Habs gerade gecheckt, nachdem die Kommentarfunktion durch Aussenstehende getestet wurde...

Also korrekter Weise hätte Herr Konze AkoComment und AkoBook so programmieren müssen, dass es auch mit register_globals off läuft...

@SniperSister: Kannst du mir sagen, welche Details dafür verantwortlich sind, dass es unter "register_globals off" nicht funktioniert.

Gruß
Mambolus

Zitat von Mambolus

@SniperSister: Kannst du mir sagen, welche Details dafür verantwortlich sind, dass es unter "register_globals off" nicht funktioniert.

Gruß
Mambolus

Moin,
alle übergaben müssen/sollten mit mosGetParm versehen werden, haben wir schon im neuen Book eingebaut dann dank Snipy

Zitat von Mambolus

@SniperSister: Kannst du mir sagen, welche Details dafür verantwortlich sind, dass es unter "register_globals off" nicht funktioniert.

Also, Achim hats zwar schon gesagt, aber ich zeigs mal an nem kurzen Beispiel:

Nehmen wir mal an, das Gästebuch hätte mehrere Seiten mit Beiträgen. Wechselt man nun die Seite, so wird an die URL &startpage=... angefügt. Ist register_globals aktiv, so kann diese Variable per $startpage abgerufen werden - so passiert es momentan.
Ist register_globals jedoch off, muss das ganze so geschehen:

PHP-Code:

$startpage = mosGetParam( $_REQUEST, 'startpage'); 


Dies ist beim Akobook nicht der Fall...und leider ist die $startpage auch nich die einzige Variable die übergeben werden muss.

Gruß Snipy