[Archchancellor]

Da hat bsich die Wochenendarbeiot (in der ich nicht ins Forum konnte) ja voll gelohnt

Archchancellor

[Joa]

Wow,

ist schon goooil flott geworden, zumindest meistens.
Weiß der Kuckuck mal wieder, woher die Hakler ab und an kommen.

Auf alle Fälle aber meine Hochachtung Jörg!

Eine Frage fällt mir ein, nämlich was denn mit dem Downloadbereich ist.

Lässt der sich aktuell finden, oder ist er noch nicht on Board?

Grüße
Joa

[Joerg Moeller]

Der ist noch nicht konfiguriert. Mache ich aber auch noch diese Woche fertig (ebenso wie die Gallery)

[klausing]

Weiß der Kuckuck mal wieder, woher die Hakler ab und an kommen.

naja, das ist recht schnell erklärt, zumindest was 99% der Hacks von sogenannten ScriptKiddies betrifft.
Was ein Hacker braucht ist eine gut dokumentierte leicht auszunutzende Lücke. Woher bekommt man solche Informationen? Ganz einfach, man schaut in den Boards, Portalen, Foren der Anbieter selbst nach was dort geschrieben wird, bzw was dort für Sicherheitsupdates angeboten werden.  Im allgemeinen wird ziemlich genau erklärt worin die Lücke bestand und was verändert wurde.

OK nun brauch ich nur noch einen Server der ein solches System mit einer Lücke hat. Im Fall von unserem Forum würde ich in Google ganz einfach nach "Powered by SMF 1.1.4" suchen.  Ohne dass die Anbieter es wirklich wollen komme ich so an Seiten die so einen Fehler enthalten wie auf einem Präsentierteller. Kenne ich also eine Lücke in der Version 1.1.4 so brauche ich nur nach Seiten mit dieser Version suchen.
Deshalb gebe ich auch immer den Rat die Versionsangaben in Foren, Weblogs, Portalen etc. zu entfernen! Man schafft es einfach nicht immer die PhP-Software auf dem Server binnen kürzester Zeit up to date zu halten. Hier gibt es leider keine Autoupdates.

Wenn ein echter Hacker es direkt auf diese Seite abgesehen hat, dann geht er anders vor und diesen abzuwehren ist auch weitaus schwerer.

[Joerg Moeller]

Deshalb gebe ich auch immer den Rat die Versionsangaben in Foren, Weblogs, Portalen etc. zu entfernen!

Ich weiß, aber das geht nicht: http://www.simplemachines.org/community/index.php?topic=65895.0

[klausing]

Laut dem Thread darfst Du das Copyright nicht entfernen. Das ist ja auch so OK. "Powered by SMF" sollte ja als Copyright reichen. Ich glaub nicht, dass da eine Versionsnummer sein muss.
Auch ein ändern in 1. 1. 4 würde reichen (also mit Leerzeichen).

[Joerg Moeller]

Laut dem Thread darfst Du das Copyright nicht entfernen. Das ist ja auch so OK. "Powered by SMF" sollte ja als Copyright reichen. Ich glaub nicht, dass da eine Versionsnummer sein muss.
Auch ein ändern in 1. 1. 4 würde reichen (also mit Leerzeichen).

Das hab ich auch so gedacht und daher nur die Versionsnummer auskommentiert. Resultat: ein fetter Hinweis am Ende der Seite, daß da nichts verändert werden darf.

[unknown]

Ich glaube wir hatten Hackler, d.h. haken im Netzwerk und damit unterschiedliche Antwortzeiten beim Ausliefern der Webseite an den Browser als Thema.

Zum Thema Versionsnummer und hacken. Eine der ersten, aber nicht ausreichenden Massnahmen, ist die Entfernung von Versionsangaben aus Software. (nicht nur Portalen, Webservern) bei "härten" von Software/Servern. Wobei man auch aus anderen Teilen der Kommunikation zwischen den Client und Serverkomponenten herausbekommt welche Versionen im Einsatz sind.

Grüßle

Norbert

[klausing]

Resultat: ein fetter Hinweis am Ende der Seite, daß da nichts verändert werden darf.

Das ist aber sehr engstirnig, aber da kann man wohl nix machen.

Wobei man auch aus anderen Teilen der Kommunikation zwischen den Client und Serverkomponenten herausbekommt welche Versionen im Einsatz sind.

Das stimmt, aber die meisten Scriptkiddies hat man damit schon erschlagen.

[Joerg Moeller]

Resultat: ein fetter Hinweis am Ende der Seite, daß da nichts verändert werden darf.

Das ist aber sehr engstirnig, aber da kann man wohl nix machen.

Ja, das sehe ich auch. Ich will ja durchaus daß die Leute sehen können, welches System ich hier verwende (Um mich so bei SMF ein bißchen zu bedanken). Aber die müssen ja nicht unbedingt die Versionsnummer wissen. Naja, ich hab noch ein Testsystem und knoebl da mal ein bißchen.