SQL Injections

[ritti1989]

Hallo Leute,

wenn ich verschiedene SQL Injections auf meinen Modified Shop laufen lasse, kann ich so einige Daten aus dem Shop auslesen. Das gefällt mir nicht.
In der php.ini ist bereits folgendes eingetragen:

Code: PHP  [Auswählen]

session.use_only_cookies = 1
session.cookie_httponly = 1

In der HTACCESS ist folgendes eingetragen:

Code: PHP  [Auswählen]

php_flag session.use_trans_sid off

Es wird trotzdem bei einigen generierten URLs im Shop die MODsid angehängt. Das ist das erste. Weiterhin kann ich per SQL-Injection interne Daten auslesen.

Ich brauche DRINGEND eure Hilfe. Danke

beste Grüße
Toni

Linkback: https://www.modified-shop.org/forum/index.php?topic=28123.0

[jannemann]

Hallo ritti1989,

welche Shopversion setzt du ein?

Schöne Grüße,
Jan

[Modulfux]

Es wäre auch nett, das vermeintliches SQL-Incjtion Tool zu nennen.

Gruß
Ronny

[noRiddle (revilonetz)]

Genau.

• Shopversion ?
• session.use_only_cookies gehört auf 0/off,
  andernfalls funktionieren gewisse Aktionen im Shop nicht wenn ein Besucher mit im Browser deaktivierten Cookies kommt (z.B. Warenkorb).
• Welche SQL-Injections sollen auf modified möglich sein ?
  Du machst hier viel Wind, also rede bitte Tacheles.

Gruß,
noRiddle

[ritti1989]

Shopversion 1.06
session.use_only_cookies lass ich auf 0 setzeb
Habs mit webcruiser getestet

Mir wurde nur gesagt das der Shop angreifbar ist und das ich was machen muss...

[h-h-h]

 

Wer einen Vulnerability Scanner verwendet, sollte die Ergebnisse auch auswerten bzw. verstehen können.

Viele Grüße,

h-h-h

[hbauer]

Hallo Toni

das ist natürlich eine ernste Angelegenheit.

Wenn Du die SQL Injections gegen die Demo Shops laufen läst kannst Du dort auch die "internen Daten" auslesen?

Könntest Du identifizierten URLs über das Kontaktformular (und nicht über das Forum) an das Team senden?

Gruß

Hagen

[ritti1989]

Moin Hagen,

danke. Kannst du dich mal per Mail bei mir melden?

bg
Toni

[Morgenstund]

Abgesehen davon, ob das stimmt oder nicht: Ist es eine gute Idee, solcherlei in einem öffentlichen Forum zu posten, statt es den Entwicklern privat mitzuteilen?

[fishnet]

das ist völlig unerheblich. Profis haben es nicht nötig hier mitzulesen und Laien können mit diesen Informationen nichts anfangen, außer das es dann eine Stellungnahme des Teams gibt
a) alles in Ordnung oder
b) Lücke gefunden und gefixt.

<offtopic>: Es gibt noch so viele xt commerce 3.04 Shops, warum sollte man sich die Mühe machen, einen Modified Shop zu hacken  </offtopic>

[ritti1989]

Hi fishnet,

Inwiefern Lücke behoben?  Kannst mir per Pn bzw email sagen was ich wo ändern muss?

Bg
Toni

[fishnet]

Einfach nochmals lesen ...