Typo3 - Schutz und Sicherheit

Transkript

1 Typo3 - Schutz und Sicherheit

2 Angriffe auf Web-Anwendungen wie CMS oder Shop- Systeme durch zum Beispiel SQL Injection haben sich in den letzten Monaten zu einem Kernthema im Bereich IT- Sicherheit entwickelt. Herkömmliche IT-Sicherheitslösungen wie Firewalls oder IDS/IPS bieten keinen ausreichenden Schutz gegen derartige Angriffe. Das Web, speziell das HTTP-Protokoll, wurde nicht konzipiert für komplexe Anwendungen, die heute aber im e-business aus wirtschaftlichen Gründen eine Notwendigkeit geworden sind. 2

3 Typo3-User schätzen die Bandbreite des Web-Content- Management-Systems mit seinen vielen Erweiterungen. Entwickler sollten dabei jedoch beachten: Je sensibler die Daten, die die Web-Anwendung transportiert, desto lukrativer werden auch Angriffe, um diese Daten auszuspionieren. Hier eine Übersicht der gängigsten Angriffsmöglichkeiten: Eine SQL-Injection-Attacke sieht auf den ersten Blick aus wie eine harmlose Anfrage. Wenn jedoch ein Angreifer im Eingabefeld Name statt des Nachnamens einen SQL-Befehl eintippt und dieser Befehl akzeptiert wird, kann er auf diesem Wege ohne Berechtigung sensible Informationen aus der Datenbank anfordern. Böswillige Requests in großer Menge können sogar ganze Web-Anwendungen lahmlegen. 3

4 SQL injections ermöglicht Hackern unsichere SQL Abfragen zu modifieren, um Daten zu verändern oder sensible Daten a u s z u s p ä h e n. D i e s g e s c h i e h t d u r c h u n v a l i d i e r t e Usereingaben. Ein Hacker könnte einen String übergeben, wie zb.: 1 OR 1, : $value = $_GET['value']; $GLOBALS['TYPO3_DB']->exec_SELECTquery('*', $this->user_table, 'uid='.$value ); die Abfrage endet dann so: $GLOBALS['TYPO3_DB']->exec_SELECTquery('*', $this->user_table, 'uid=1 OR 1 ); Dies liefert als Ergebnis alle rows von $this- >user_table. Dagegen schützt nur die Validierung aller Eingaben, die bei der SQL Abfrage genutzt werden. 4

5 SQL-Injection gehört mit zu den verbreitesten Angriffen und zielen oft auf Community Seiten, da Zweck der Attacke Datensammeln ist. Schützen tut hier nur eine Saubere Programmierung. Unter Session Riding versteht man die unberechtigte Übernahme einer HTTP-Session. Kommandos werden in e i n e b e s t e h e n d e S e s s i o n e i n e s B e n u t z e r s eingeschmuggelt. Diese Kommandos werden dann mit den Rechten des angegriffenen Benutzers ausgeführt. Bei Session Hijacking übernimmt der Angreifer die gesamte Session des Benutzers und kann somit mit den Rechten des Benutzers arbeiten. Beide Session Attacken werden vornehmlich bei Shops, Partnerportalen oder auch ebay verwendet. 5

6 Mit Cross Site Scripting (XSS) wird versucht, den rowser dazu zu bringen, bestimmte Aktionen im Namen es legitimen Benutzers durchzuführen. Besondere orsicht ist mit Ausgaben mittels echo von nvalidierten Eingaben angebracht. Code wie dieser kann für Ihre Besucher gefährlich sein: cho $_REQUEST['value']; eliebte Ziele für XSS sind Foren- und Portalsysteme owie Web 2.0 Web Anwendungen. value = htmlspecialchars( $value ); 6

7 Stellen Sie sich vor Sie haben folgende Zeile in Ihrer Typo3 Erweiterung: include( $absolute_path. '/typo3/ yourextension.class.php' ); außerdem das der Hacker folgendes versucht: absolute_path= und damit ausführbaren Code mit einer als Bild benannten Datei sendet. 7

8 Der Code wird dann mit der Berechtigung des Webservers ausgeführt. (Vorrausgesetzt das register_globals ist auf ON, was leider oft der Fall ist). Das nennt man remote file inclusion. Dies können sogar sogenannte script kiddies, e r f a h r e n d e H a c k e r k ö n n e n d i e s a u c h b e i register_globals OFF abhängig aber von bestimmten PHP Versionen. Remote file inclusion ist nur dann möglich wenn die PHP Einstellung allow_url_fopen auf ON steht. Seien Sie also sehr Vorsichtig mit allen Funktionen, die das Dateisystem betreffen zb. include, require, include_once, require_once, fopen. 8

9 Gute Praxis ist es constanten zu nutzen: define( 'YOURBASEPATH', dirname( FILE ) ); require_once( YOURBASEPATH. '/file_to_include.php' ); Da hier keine Variablen genutzt werden, hat der Hacker kein Chance Dateien von einem Remote Server zu öffnen. 9

10 Stellen Sie sicher das Ihre Erweiterung kein register_globals ON braucht. Es gibt leider immer noch genug Programme die register_globals ON brauchen. PHP importiert dann alle $_GET, $_POST, $_COOKIE Daten und einige andere Variablen in einen Globalen Bereich. Wenn das Programm gut geschrieben ist, ist daran nichts auszusetzen, aber es gibt leider genug Programme in dem die Variablen unsicher gehandhabt werden und somit ernste Löcher ins System reißen, darum sollte man sein Webhosting auf RG OFF schalten (sofern möglich), viele Hoster gehen langsam dazu über die Server per default auf OFF zu setzten. 10

11 Sonstiges was zu beachten ist * Nutze nicht eval(). eval() is evil! * Nutze keine Shellbefehle, exec, shell_exec, system, popen und ähnliche * Nutzen Sie etc, in Ihrem Code 11

12 Das Typo3 INstall Tool sollte als Elementare Regel nicht vom Web erreichbar sein, nur dann wenn man es braucht. Deaktiviere das Install Tool durch auskommentieren der ersten Zeile..die() in typo3/install/index.php oder verschiebe das Verzeichnis typo3/install oder mache es für den Webserver unerreichbar. Ändere das Password des admin Users sofort und am besten ersetze den admin user durch einen neuen. Nutze das Quickstart- und Testsite Paket nur local zum testen für Live Sites ist das dummy Paket besser geeignet. 12

13 Lösche jedes Schreibrecht für typo3_src (chmod für die Dateien 444) Nutze die Sicherheits Optionen im Install Tool: [strictformmail] sollte 1 sein [encryptionkey] sollte gesetzt sein [warning_ _addr] [lockip] [lockrootpath] [filecreatemask] [filedenypattern] sollte zumindest \.php$ \.php.$ enthalten [foldercreatemask] 13

14 [warning_mode] [IPmaskList] [lockbeusertodbmounts] [lockssl] [enabledbeuseriplock] [disable_exec_fucntion] [usephpfilefunctions] [nophpscriptinclude] sollte bedacht werden wenn andere Zugriff auf Template Dateien haben [lockhashkeywords] [devipmask] 14

15 Vermeide config.baseurl = 1 sicherer ist es absolute URLs zu nutzen. Nutze für das BE SSL (dann die lockssl option aktivieren) Für FE User sollte man für Logon, Registration und Passwordänderung auch SSL nutzen. Passwörter nicht in Klartext speichern hier kann man die Erweiterung kb_md5fepw nutzen oder LDAP. Erlaube kein Content Element HTML. Erlaube kein reines Html in Text Content Elements Erlaube keine Erweiterungen, die eine Eingabe von PHP Code erlauben. 15

16 Useraccounts sollten richtige Namen haben kein predator sondern Marko Schmuck, somit kann man schneller Ereignisse überblicken. Nutze nur geteste Erweiterungen. 16

17 PHP Optionen: Logge Errors in eine Datei - Display Errors sollte off sein, damit keine sensiblen Serverdaten durch einen Fehler angezweigt werden. Nutze wenns geht safemode oder zumindest basedir. Nutze CGI/PHP (suphp) somit ist der Webuser = dem FTP User. Register Globals = OFF!!!!!!! allow_url_fopen = OFF!!!!!!! Wenn man Dateien von außerhalb braucht (RSS Feeds) sollte man auf curl zurückgreifen. 17