Dazu dient folgendes Kommando, hier als Beispiel unter Debian Linux:

/usr/bin/mysqldump -p[PASSWORT] -u[BENUTZER] --add-drop-table -h [HOSTNAME] [DATENBANKNAME] > [DATEINAME]

Sehr hübsch für Firefox / Flock User: Man kann mit dem Plugin "Stylish" den Stil bestimmter Webseiten anpassen. Dazu installiert man das Stylish Plugin, und holt dann von userstyles.org die gewünschten Veränderungen. Zum Beispiel kann man die Darstellung von Google kompakter gestalten, so dass die Ergebnisse dann so aussehen:



So sieht dasselbe Ergebnis ohne Userstyle aus:

Der neue OSCommerce Shop geht jetzt in Produktion. Alles weitere drüben auf www.augenblick-fingerfertig.de.

EDIT: Es ist vollbracht: Der neue Shop läuft. Demnächst wird es auch Kalender für 2007 und viele schöne Geschenkartikel geben. Es lohnt sich also reinzuschauen.

Wenn ihr über neue Artikel informiert werden wollt, dann könnt ihr Uns schreiben und bekommt dann den Augenblick-Fingerfertig Newsletter zugesandt.

Nintendocast #52

Der Nintendocast gibt einen Überblick, was auf der Games Convention 2006 so geboten wird. Außerdem wird die Geschichte der Games Convention aufgerollt. Der Fokus liegt, wie der Name vermuten lässt, dabei auf den Spielen und Konsolen von Nintendo.

Ganz spannend, denn am Freitag geht sie los, die GC06, und wir sind da :-D

Links: Das offizielle Games Convention 06 weblog
Sonderausstellung CaseModding@GC

*.M4V, das sind Videodateien, die von Apple's Quicktime Player abgespielt werden können. Wenn man Quicktime nicht mag, weil er zum Beispiel in seiner kostenlosen Version nicht ins Vollbild wechselt, dann kann man zur Wiedergabe von M4V-Dateien auch den MPlayer verwenden. Der MPlayer kommt wohl aus dem Linux-Umfeld, aber man kann auch eine Ein-Click-Install-Version des MPlayer für Windows auf der verlinkten Seite unter "MPlayer 1.0pre8 Windows build" runterladen. MPlayer ist mir sehr sympathisch, ein Kommandozeilen-Player, dem man den Dateinamen übergibt und der dann die Datei abspielt.

Der Heise Newsticker berichtet heute, dass in einem Gutachten für den Bundestag zur Umsetzbarkeit der TK-Vorratsdatenspeicherung diese stark angezweifelt wird. Bei Heise heisst es:

Die in der Richtlinie vorgesehene verdachtsunabhängige Aufzeichnung von Namen und Anschrift jedes Kommunikationspartners werde in diesem Hinblick größere Probleme auf als eine "schlichte Speicherung der Telefonnummer ohne direkte Rückführungsmöglichkeit zum Betroffenen".

Das ist wieder so eine merkwürdige Rechtslage - hier wird unterschieden zwischen Personendaten und Daten, die Personen nur zugeordnet werden können. Allerdings scheint mir hier die Zuordnung viel zu einfach zu sein, als dass sie eine Hürde darstellen würde für jemand, der diese Daten unbefugt in die Hände bekommt.

Schließlich kann man Telefonnummern im Normalfall inzwischen mit Inverssuche zu Namen auflösen, zum Beispiel auf Telefonbuch.de. Einzig die direkte Suche nach Namen in den gespeicherten Daten ist nicht möglich, bevor man diese Auflösung nicht vorgenommen hat, und wenn jemand eine Geheimnummer hat, kann man seinen Namen nicht mit den öffentlich zugänglichen Methoden auflösen.

Hier gibt es einen Artikel zum Cross Site Scripting als Ausgangspunkt für Shell Access auf einem Webserver: XSS Vulnerability.
In diesem Artikel beschreibt der Autor, ein Seth Fogie drei Angriffsschritte zum Knacken einer Web Applikation:

1. Session Hijacking, um die Session eines Benutzers mitbenutzen zu können, ohne sein Passwort eingegeben zu haben.
2. Parameter-Veränderung um an Daten anderer Benutzer zu gelangen.
3. Code Injection in den Server über einen File-Upload.

Daraufhin stellt sich die Frage, ob auch OS Commerce wie die dort beschriebene Web-Applikation angreifbar ist.

Am Spannensten war für mich die Code Injection. Fogie hat anstelle eines Bildes ein PHP-Script (mit Endung .php) hochgeladen. Dieses wurde so abgelegt, dass es als Webseite aufrufbar war. Eine Prüfung auf eine Bild-Endung geschah nicht. Dadurch konnte er beliebigen Code in den Server einspielen und mit den Rechten des Webserver-Benutzers ausführen.

Diese Attacke ist bei OS Commerce nur im Admin-Bereich möglich: Dort wird z.B. für die Produktbilder beim hochladen keine Prüfung durchgeführt, ob es sich um eine Bild-Endung (.jpg, .jpeg, .png, .gif) handelt. Allerdings können im Admin-Bereich auch beliebige PHP-Dateien mit einem Editor verändert werden. Damit kann man ganz offiziell PHP-Code bearbeiten. Anders gesagt: Wer in den Admin-Bereich von OS Commerce eindrigen kann, kann auch seinen eigenen Code ausführen lassen. Um diesen Bereich abzusichern, müsste man den dortigen Datei-Manager entfernen und bei allen Aufrufen der "upload"-Klasse den Dateityp prüfen. Die Upload-Klasse bietet bereits eine Prüfung an, diese wird lediglich nicht genutzt: Der letzte Parameter beim Konstruktor upload() ist ein Array von erlaubten Endungen.

Kann man nun in den Admin-Bereich über Session Hijacking eindringen? Benutzer werden dort nicht wie im eigentlichen Webshop über Cookies oder Session IDs identifiziert. Stattdessen muss der Admin-Bereich über eine HTTP-Authentifizierungsmethode des Webservers gesichert werden. Dies kann man auf dem Apachen mit .htaccess Dateien oder über die Konfiguration des Webservers erreichen. Der im obigen Artikel beschriebene Session Hijacking Angriff greift damit für den Admin-Bereich nicht.

Kann nun das Session Hijacking im normalen Webshop (also nicht im Admin-Bereich) benutzt werden, um Benutzer-Sessions zu kapern und damit die Benutzerdaten (z.B. auch Kontodaten beim Lastschrift-Einzug) auszuspähen? Hierzu müsste ein normaler Benutzer (anonym oder als nicht-admin Benutzer angemeldet) Javascript-Code in die Webseiten des Shops einfügen können. Hier habe ich einige Stichproben durchgeführt:

Bei der Eingabe eines vorhandenen Benutzernamens werden weder der Benutzername noch das Passwort bei Falscheingabe in der nachfolgenden Fehlermeldung ausgegeben. Auch bei der Suche wird die Suchanfrage nicht in der Webseite angezeigt. Bei der Abgabe von Bewertungen werden < und > im vom Benutzer eingegebenen Text entfernt. So ergibt die Eingabe von
nach dem Speichern den Text

Insgesamt kann man keine dieser Eingabemöglichkeiten benutzen, um eine Cross Site Scripting Attacke durchzuführen.

Dies ist noch keine umfassende Überprüfung, langt mir aber für eine erste Einschätzung des OS Commerce: Herr Ponce De Leon scheint beim Bau des OS Commerce Systems auch an derartige Attacken gedacht zu haben, das ist recht beruhigend.

Achja, den zweiten Punkt, die Parameter-Veränderung habe ich nicht betrachtet. Das wäre aber ein grober Faux-Pas bei der Programmierung, und so etwas ist mir bei OS Commerce bisher nicht aufgefallen.

Meine Empfehlung zur Absicherung des Webshops: Man sollte den Admin-Bereich extrem stark absichern. Wenn man bedenkt, dass bei der BASIC HTTP-Authentifizierung das Passwort bei jedem Zugriff im Klartext übertragen wird, sollte man mindestens eine gesicherte Verbindung über HTTPS verwenden.

In letzter Zeit sammle ich meine Bookmarks mit dem selbstgebastelten Tool, das ich "Quicklinks" getauft habe.
Dort poste ich wesentlich öfter Links als hier Blog-Beiträge, weil es viel schneller geht.
Die neuesten Quicklinks kann man hier oben rechts auf der Seite sehen. Dort sind auch die vollständigen Ansichten "Bookmarks nach Alter" und "Bookmarks nach Kategorie" verknüpft.
Seit eben gibt es auch eine RSS-Ansicht dieser Quicklinks. Sie ist bei "Bookmarks nach Alter" als RSS eingebunden. Der direkte link zum RSS heisst http://preiselbeersahne.no-ip.org/bookmarks/?style=rss. Man kann sich auch einzelne Kategorien als Feeds holen, dazu muss man den Kategorienamen urlencoded anhängen. Für die Kategorie "Web 2.0" sieht das z.B. so aus: http://preiselbeersahne.no-ip.org/bookmarks/?style=rss&kategorie=Web+2.0.
Nur falls jemand sowas mag :)

Spreeblick-Podcast vom 9.8.2006

Holgi hat mal wieder angerufen... diesmal hat er sich erklären lassen wie man Uran anreichert. Nur falls man das mal selbst machen will :)