Register_globals bei 1&1

T-Bob · Registriert seit: 01.08.2006

Hallo Leute!

Nachdem ich nun schon einige Zeit hier im Forum mitlese und schon viele wertvolle Informationen erhalten habe, dachte ich es wäre mal angebracht etwas zurückzugeben.

Ich betreibe momentan eine Website für einen Verein, die bei 1&1 gehostet wird. Aufgrund der momentanen Sicherheitsproblematik, wollte ich die Option register_globals von PHP abschalten. Leider ist die laut 1&1 Hotline nur über die php.ini Datei möglich (1&1 kann/will nichts im Configfile ändern, .htaccess geht nicht -> Fehler 500).

Problem: Die Datei muss in jedem Verzeichnis das PHP Scripts enthält existieren.
Lösung: Ich hab mir ein kleines Script gebastelt, das ich nun mit Euch teilen möchte.

Das Script wird in das Joomla Vezeichins kopiert. Dort wird auch noch eine php.ini Datei erstellt. Die php.ini enthält die Konfigurationsinformation für PHP, in unserem Fall also

Code:

register_globals = off

Das Script durchsucht nun ausgehend von seiner eigenen Position alle Unterverzeichnisse nach PHP Scripts. Wenn ein Verzeichnis eine PHP Datei enthält, so wird ein Symlink auf die php.ini Datei erstellt.

Übersicht der Funktionen:

"Scan": Untersucht, ob alle benötigten Verzeichnisse einen Symlink haben
"Create links": Erstellt die benötigten Symlinks
"Remove links": Löscht die Symlinks wieder
"Delete Script": Löscht das Script

Noch ein Hinweis für XAMPP User unter Windows: Hier funktioniert das Script leider nicht, da Windows über die "Bordmittel" keine Symlinks unterstützt. Es erscheint ein entsprechender Hinweis.

Bitte nicht vergessen, das Script nach der Benutzung wieder zu löschen!

Nochwas: Ich übernehme keinerlei Garantien, dass das Script so funktioniert wie es soll! Es kann zu Datenverlust oder sonstiges Problemen kommen. Verwendung nur auf eigene Gefahr!

Über Feedback würde ich mich sehr freuen.
Wäre auch gut, wenn noch mal jemand drüber schaut, der sich mit PHP auskennt (das ist mein erstes PHP Script überhaupt

).

Viel Erfolg,
Ralf

bjoerns · Registriert seit: 05.05.2006

Danke für dein Script, ich werd es direkt mal ausprobieren, da meine Site diese Woche auch einem Angriff zum Opfer gefallen ist.

Naja jetzt muss ich erstmal versuchen das ganze so gut es geht zu sichern.

Edit:
Hat Wunderbar geklappt!
Danke!

Noch ein kleiner Edit:
Nachdem ich mal die offizielle Joomla Website durchforstet hab, hab ich noch ein paar Kommandos in meine php.ini aufgenommen die ganz nützlich sein können:

PHP-Code:


		
			
register_globals = off

safe_mode = on

allow_url_fopen = off

disable_functions = show_source, system, shell_exec, passthru, exec, popen, proc_open

Eine Funktion die noch abschalten kann ist phpinfo. Dann Funktioniert diese Funktion jedoch auch nicht im Backend.

Ich hab das ganze grade mal mit meiner Seite getestet und keine Probleme fest gestellt.
Bei anderen Seiten übernehme ich natrülich keine Garantie.

Hier übrigens noch der Link zur Joomla Security Checklist:
http://forum.joomla.org/index.php/topic,81058.0.html

EVIL-WAX · Registriert seit: 08.03.2006

Uiiii wenn das funktioniert, küss ich dich!

(natürlich nicht wirklich

)
Ich bin bei Netclusive und muss ebenfalls eine php.ini in alle Ordner die es brauchen Packen.
Lästig viel Arbeit!

Ich Teste mal

T-Bob · Registriert seit: 01.08.2006

Na dann wünsch' ich Dir mal viel Erfolg!

Falls Du vorher schon php.ini Dateien manuell kopiert hast, solltest Du die vor dem Start des Scripts wieder löschen. Das Script fasst nur Symlinks an, keine "echten" Dateien. Damit soll die Möglichkeit bleiben, für spezielle Verzeichnisse eine abweichende php.ini verwenden zu können.

EVIL-WAX · Registriert seit: 08.03.2006

Gut dann such ich die paar php.ini Dateien die ich provisorisch und systemlos schon irgendwo untergebracht habe und lösch die.... wenn mein FTP Zugang wieder heile ist

EVIL-WAX · Registriert seit: 08.03.2006

Dein Script ist SUPER !!
Vielen herzlichen Dank!!

Kann ein Moderator diesen Threat Sticky machen? Denke mal dieses Tool hilft sehr vielen!

roemerli · Registriert seit: 24.03.2006

Hi,

wenn ich im Script mit Suchen und Ersetzen aus allen "php.ini" "php-cgi.ini" mache, dann geht es auch bei mir.

Schönes Script. Vielen Dank dafür.

Andi

curank · Registriert seit: 21.07.2005

Super, es funktioniert anscheindend tadellos!

Spider · Registriert seit: 07.01.2006

Hi,

@roemerli und curank:
Vllt. solltet ihr mal noch bekannt geben bei welchem Hoster ihr seit, damit andere sich daran orientieren könnten ob dieses Script auch bei Ihnen hilft

Ansonsten, gute Arbeit T-Bob *tumbs_up*

Cu

curank · Registriert seit: 21.07.2005

Zitat:

Zitat von Spider

@roemerli und curank:
Vllt. solltet ihr mal noch bekannt geben bei welchem Hoster ihr seit, damit andere sich daran orientieren könnten ob dieses Script auch bei Ihnen hilft

Bin bei 1&1

Themen-Optionen	Thema durchsuchen
Druckbare Version zeigen Diese Seite per E-Mail verschicken	Thema durchsuchen: Erweiterte Suche
Ansicht
Linear-Darstellung Zur Hybrid-Darstellung wechseln Zur Baum-Darstellung wechseln

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
1&1 Home 5.0 und Joomla ?	cavallo	Allgemeine Fragen zu Joomla	13	28.03.2009 15:21
Domainumzug von 1&1 - komischer Zusatz...?	Nele	Off Topic	4	27.08.2006 01:31
Joomla! 1.0.8 auf 1&1 Web 5.0 - Backup/Restore	cathunter43	Allgemeine Fragen zu Joomla	3	09.04.2006 16:07
Joomla Hosting - 1&1 Virtual Server	DonDisco	Allgemeine Fragen zu Joomla	6	27.03.2006 16:54
TFSforMambo und PURETEC bzw 1+1, 1&1	axeldeutschland	Mambo Komponenten	5	21.11.2004 00:49


bjoerns Joomla Newbie Registriert seit: 05.05.2006 Beiträge: 25 Bedankte sich: 0 24 Danksagungen in 1 Beitrag	Danke für dein Script, ich werd es direkt mal ausprobieren, da meine Site diese Woche auch einem Angriff zum Opfer gefallen ist. Naja jetzt muss ich erstmal versuchen das ganze so gut es geht zu sichern. Edit: Hat Wunderbar geklappt! Danke! Noch ein kleiner Edit: Nachdem ich mal die offizielle Joomla Website durchforstet hab, hab ich noch ein paar Kommandos in meine php.ini aufgenommen die ganz nützlich sein können: PHP-Code: `register_globals = off safe_mode = on allow_url_fopen = off disable_functions = show_source, system, shell_exec, passthru, exec, popen, proc_open` Eine Funktion die noch abschalten kann ist phpinfo. Dann Funktioniert diese Funktion jedoch auch nicht im Backend. Ich hab das ganze grade mal mit meiner Seite getestet und keine Probleme fest gestellt. Bei anderen Seiten übernehme ich natrülich keine Garantie. Hier übrigens noch der Link zur Joomla Security Checklist: http://forum.joomla.org/index.php/topic,81058.0.html Geändert von bjoerns (05.08.2006 um 21:46 Uhr).


EVIL-WAX Joomla Profi Registriert seit: 08.03.2006 Ort: Osnabrück Beiträge: 181 Bedankte sich: 56 10 Danksagungen in 9 Beiträgen	Uiiii wenn das funktioniert, küss ich dich! (natürlich nicht wirklich ) Ich bin bei Netclusive und muss ebenfalls eine php.ini in alle Ordner die es brauchen Packen. Lästig viel Arbeit! Ich Teste mal __________________ ALL YOUR BASE ARE BELONG TO US


T-Bob Joomla Newbie Registriert seit: 01.08.2006 Beiträge: 18 Bedankte sich: 0 332 Danksagungen in 6 Beiträgen	Na dann wünsch' ich Dir mal viel Erfolg! Falls Du vorher schon php.ini Dateien manuell kopiert hast, solltest Du die vor dem Start des Scripts wieder löschen. Das Script fasst nur Symlinks an, keine "echten" Dateien. Damit soll die Möglichkeit bleiben, für spezielle Verzeichnisse eine abweichende php.ini verwenden zu können.


roemerli Joomla Supporter Registriert seit: 24.03.2006 Ort: Frankfurt am Main Beiträge: 127 Bedankte sich: 11 17 Danksagungen in 14 Beiträgen	Hi, wenn ich im Script mit Suchen und Ersetzen aus allen "php.ini" "php-cgi.ini" mache, dann geht es auch bei mir. Schönes Script. Vielen Dank dafür. Andi __________________ "It don't mean a thing, if it ain't got that swing" Jazz & more: http://roemer.li Bilder & mehr auf http://www.bilddetail.eu


curank Joomlaianer Registriert seit: 21.07.2005 Ort: Dreieich Beiträge: 81 Bedankte sich: 4 15 Danksagungen in 12 Beiträgen	Super, es funktioniert anscheindend tadellos! __________________ www.musik-links.de


Spider Joomla Profi Wohnort auf der Karte Registriert seit: 07.01.2006 Beiträge: 155 Bedankte sich: 5 22 Danksagungen in 19 Beiträgen	Hi, @roemerli und curank: Vllt. solltet ihr mal noch bekannt geben bei welchem Hoster ihr seit, damit andere sich daran orientieren könnten ob dieses Script auch bei Ihnen hilft Ansonsten, gute Arbeit T-Bob tumbs_up Cu