Auf Thema antworten 2026

JavaScript ist deaktiviert. Für eine bessere Darstellung aktiviere bitte JavaScript in deinem Browser, bevor du fortfährst.

Beitrag: <blockquote data-quote="Robbyn-" data-source="post: 1688465" data-attributes="member: 63227">AW: Kundenbereich: wie richtig schützen?Alle wichtigen Eingaben der Benutzer sollten überprüft werden, Hacker sollten bei SQL-Injectionen und Cross Site Scripting auf Granit stoßen.Remote Code Execution sollte auch nicht möglich sein. Als Beispiel wäre es problematisch, wenn Skripte externe Dateien über beispielsweise über require(), include(), fopen() etc. einbinden und der entsprechende Pfad von extern (z.B. bei register_globals=on) beeinflusst werden kann. Dann braucht ein Angreifer den Schadcode der zur Ausführung gelangen soll nicht auf den angegriffenen Server bringen, sondern kann ihn direkt aus dem Netz heraus einbinden.Dann gibt es natürlich noch die Sicherheitslücken auf den Servern. Die PHP Konfiguration kann direkten Einfluß auf die verschiedensten Angriffsvarianten haben, schlecht konfigurierte Systeme ermöglichen darüberhinaus Angreifern oftmals sehr umfangreiche Möglichkeiten. Leider sind in der Grundinstallation viele "Sicherheits-Optionen" falsch gesetzt und werden vor dem produktiven Einsatz nicht kontrolliert.Einige der wichtigsten Konfigurationseinstellungen im Überblick:    * register_globals (off seit PHP 4.2, optimale Einstellung: off)    * allow_url_fopen (on in der Grundeinstellung, optimale Einstellung: off)    * magic_quotes_gpc (on in der Grundeinstellung, optimale Einstellung: off - siehe auch magic_quotes_gpc und SQL-Injektion)    * magic_quotes_runtime (off in der Grundeinstellung, optimale Einstellung: off)    * safe_mode and open_basedir (nicht aktiv in der Grundeinstellung, kann - falls richtig konfiguriert - aktiviert helfen, Risiken zu minimieren.)Dann gibt es leider noch den Angriff durch Dateisysteme. Da gibt es eine Reihe an Möglichkeiten durch Angriffe auf das Dateisystem Schaden anzurichten, insbesondere in Shared-Hosting-Umgebungen:    * Anzeige von Serverdaten (wie /etc/passwd, Konfigurationsdateien oder Logs)    * Angriffe auf Session-Daten (normalerweise in /tmp)    * Datei-Upload-Angriffe (z.b.bei unvalidiertem Avatar oder Dateiupload)Da viele Provider darüberhinaus PHP mit dem Benutzerkonto "nobody" beim Apache gestartet haben, können Angriffe auf das Dateisystem oftmals den gesamten Server und nicht nur eine einzelne Präsenz betreffen.Deswegen immer Benutzer eingaben sorgfälltig überprüfen. SQL-Injection:[PHP]mysql_real_escape_string($variable)[/PHP]oder mithilfe von mysqli ... soweit es dir natürlich möglich ist ...  kannst du mithilfe von Prepared Statements SQL Injectionen besser abfangen.Variablen immer überprüfen:[PHP]$wert = trim(htmlspecialchars(str_replace(array("\r\n", "\r", "\0"), array("\n", "\n", ''), $wert), ENT_COMPAT, 'UTF-8'));[/PHP]wobei Wert deine Variable ist die du übergeben willst, bist du so immer auf der sicheren Seite.Ich hoffe ich konnte dir damit weiterhelfen.MfG.Robbyn</blockquote> Bilder bitte hier hochladen und danach über das Bild-Icon (Direktlink vorher kopieren) platzieren.

Authentifizierung: Wenn ▲ = 7, ▼ = 3, ◇ = 2 und die Summe von ▲ und ▼ durch ◇ geteilt wird, was ist das Ergebnis?