Sicherheitsrisiko mit PHP/MySQL

TAX · 02.03.2005, 18:29

Hallo Experten!

Mit Dreamweaver 2004 MX habe ich mir ein kleines CMS-System gebastelt. In verschiedenen Zeitschriften habe ich über Risiken bezüglich PHP gelesen. Worauf muss ich achten? Gibt's bei meinem System eine gravierende Lücke? Soweit ich festgestellt habe, kann ich nichts am PHP-System meines Providers ändern. Das ist wahrscheinlich fix vorkonfiguriert.

Den Administrationsbereich habe ich in ein Passwort geschütztes Verzeichnis verlegt. Dazu habe ich robots.txt angewiesen, dass es dort nichts zu suchen gibt.

Meine News-Seiten werden z.B. über folgende Seite aufgerufen:

http://cloning.ch/newsmaster.php

Eine einzelne Newsseite:

http://cloning.ch/newsdetails.php?recordID=31

Ist nun mein System sicher, oder ist es trotzdem möglich via URL-Eingabe etwas auszuspionieren und nachher herumzuhäcken?

Ich bin über eine Antwort sehr dankbar!

TAX

Adromir · 02.03.2005, 20:03

Die einzigen relevanten Sicherheitslücken die ich jetzt kenne, liegen in den Funktionen
shell_exec
und unserialize
wenn du die nicht verwendest, ist das schon mal kein Problem.

Dann eine zu sorglose verarbeitung von übergebenen Werten (POST, GET) stellt immer ein Sicherheitsrisiko dar.

TAX · 02.03.2005, 20:52

Na, dann bin ich ja beruhigt. Vielen Dank für die Antwort!

TAX

Strogij · 02.03.2005, 20:57

Die Sicherheitsrisiken entstehen durch die menschliche Dummheit und nicht durch PHP.

Adromir · 02.03.2005, 20:59

Wobei ich mich frage, inwieweit PHP nicht doch ne Recht sichere Angelegenheit ist, solange man zB. sauber selbstgeschriebene Scripte verwendet. Denn ein Hacker hat ja keinen einblick ins Script und hat so nur eine sehr waage Vermutung, was im Script ablaufen könnte...

|23| · 02.03.2005, 23:45

Zitat:

Zitat von Strogij

Die Sicherheitsrisiken entstehen durch die menschliche Dummheit und nicht durch PHP.

und von wehem wurde php geschrieben doch ned etwa von Tieren

*denk mal darüber nach*

Strogij · 02.03.2005, 23:52

Zitat:

Zitat von |23|

und von wehem wurde php geschrieben doch ned etwa von Tieren

*denk mal darüber nach*

Ich sprach von der Sicherheit der Skripte.

321 · 03.03.2005, 00:13

Hab mal was über Cross-site-scripting bekommen.
Siehe Anhang!

|23| · 03.03.2005, 01:03

Zitat:

Zitat von Strogij

Ich sprach von der Sicherheit der Skripte.

axo dachte sicherheit im allgemeinen.. den wie wir wissen gibts die nur wenn wir die rechner nicht anmachen würden!

TAX · 03.03.2005, 16:36

Interessant,besonders der Link über das cross-site-scripting!

Vielen Dank!

TAX