Connie hat folgendes geschrieben: ich komme nochmal auf das Thema zurück, und ich hoffe, dass Ihr inzwischen ein wenig mehr
Sensibilität für mein Problem habt ;=(
Naja, du schreibst das alles so als ob es der Weisheit letzte Schluss wäre. Daher haben wir auch
entsprechend reagiert 
Connie hat folgendes geschrieben: 1) die Variablennamen müssen weniger deutlich sein, also nicht mehr $login oder $passw, sondern
irgendwelche Strings mit Gross- und Kleinschreibung, Ziffern und Buchstaben
auch der Tabellenname muss in einer Variablen stehen und darf nicht in Klartext auftauchen (ls_table)
Was sollen die Variablennamen damit zu tun haben?
Falls register_globals an ist und die Variablen nicht im Script initialisiert werden, ist es zwar
möglich deren Werte zu manipulieren, aber ansonsten nicht. Bei $login und $passw geht das daher
nicht, da die in der config.php initialisiert werden.
(Ok, wenn man sich ganz blöd anstellt, bekommt man es auch anders hin eine Manipulation zu
erlauben, aber im Normalfall nicht)
Connie hat folgendes geschrieben: 2) in die Datenbank dürfen nicht mehr $_POST[..] Variablen geschrieben werden sondern diese
Variablen müssen vorher umgesetzt werden in Variablen, die zuerst einmal initialisiert werden und
deren Namen auch wieder nicht sprechend sind
Das gleiche wie oben: Bringt rein gar nichts.
Ob du nun direkt die Werte aus $_POST nimmst oder die erst in eine andere Variable kopierst ist
total egal. Ist beides unsicher (da man die Werte natürlich prüfen muss). Und der Name der
Variablen, in die du das kopierst, spielt nun wirklich keine Rolle.
Connie hat folgendes geschrieben: 3) die Input-Felder im Formular dürfen keine Klartext-Namen haben sondern auch irgendwelche
Strings, also auf keinen Fall sowas wie OK, das ist zu simpel
Bringt dir nicht wirklich was. Jemand brauch sich nur deine Seite kurz wieder anzugucken und zu
schauen wie die Felder heißen und schon kann er seinen Bot so umstellen, dass es wieder funktioniert.
Connie hat folgendes geschrieben: 4) die IP-Adresse der Eintragungen sollte mitgeloggt werden, dann könnte man einzelne IPs in
.htaccess oder im Script selbst sperren (nicht alle IPs sind dynamisch ... )
Ja, das stimmt. Das sollte man machen.
Connie hat folgendes geschrieben: Ich schreibe diese Punkte hier, weil es nicht geholfen ist, wenn ein User für sich das anpasst, Ihr
müßt Eure Scripte so absichern und ALLE User müssten per Update ihre Scripte absichern können
Unabhängig von meinen allgemeinen Kommentaren bisher, ist mir nicht bekannt, dass man in
Linksolution als User (nicht Admin) Einträge erstellen kann. Daher frag ich mich ob du wirklich
unser Linksolution hast oder ob es eine Modifizierte Version ist.
Ok, ich gebe zu, ich weiß im Moment nicht ob Henrik dir das Script angepasst hat. Aber wenn, dann
müssen wir natürlich nicht Linksolution für alle anpassen.
Connie hat folgendes geschrieben: Eure Anregung, ich solle ein Captcha einbauen, hilft nicht den anderen Usern, das muss von Euch geschehen, denn es ist Euer Script, meine ich mal 
1. Siehe oben
2. Wir haben nun mal so einige Scripte im Angebot (wovon einige älter und schlechter sind und
einige jünger und besser) und es ist leider zeitlich unmöglich alle aktuell zu halten und
weiterzuentwickeln. Sorry.
Connie hat folgendes geschrieben: Kurz gefasst, ich brauche Eure Hilfe und für Eure Scripte wäre es auch gut, wenn Ihr sicherere Scripte anbötet! 
Lad dir aktuelle Scripte von uns runter, dann wirst du sehen, dass diese relativ (absolut sicher
ist gar nichts) sicher sind.
Naja, aber wie es aussieht betrifft uns das ganze gar nicht, da es nur um das Eintragen von Links
geht, welches nicht von uns ist.
Aber um dir nochmal einen allgemeinen Tipp zu geben (auch wenn ich das schon mal gesagt habe):
Sicher das ganze mit einem Captcha Bild. Das ist eine der wenigen Methoden, die es den Bots
wirklich schwer macht automatisch Formulare auszufüllen. Die ganzen anderen Sachen, die du genannt
hast, helfen nur für kurze Zeit, da man einen Bot lediglich kurz anpassen muss um wieder
erfolgreich dein Formular missbrauchen zu können.
mfg Nils
|
Thema: "SPAM Intrusion"
[ Seite 1 ]
Connie , 10.09.2006, 16:22
1 2 3 4 ]
