Login

#1 (**permalink**) 25-02-2010, 13:40

Habe ein Script "register_global OFF" kompatibel gemacht. Das Script läuft nun wieder, nur der Adminbereich kann nicht aufgerufen werden. Der Server gibt mir immer die Fehlermeldung 404 zurück. Er kann die Seite nicht finden, obwohl sie definitiv vorhanden ist.

Der IE meldet: HTTP 404 - Datei nicht gefunden
Firefox meldet: nichts, d.h. leere weisse Seite

Woran liegt das?

Gruss

Floh

#2 (**permalink**) 25-02-2010, 13:42

Ohne Quellcode wird es schwierig zu sagen, wo dein Problem genau liegt! Was für ne Software? Welche PHP Version usw.?

mfg streuner

#3 (**permalink**) 25-02-2010, 13:43

Hallo Floh,

ohne genauere Infos kann man dazu gar nichts sagen. Sicher, dass es nicht nur ein Tippfehler ist?

Gruß,

Amica

#4 (**permalink**) 25-02-2010, 13:43

Wenn eine Meldung 404 vorliegt, dann ist die Seite definitiv nicht vorhanden, die aufgerufen werden soll.

#5 (**permalink**) 25-02-2010, 13:44

Möglicherweise auch Probleme durch bestimmte Einträge in einer evtl. vorhandenen .htaccess?

Mehr Infos!

#6 (**permalink**) 25-02-2010, 14:08

A. Keine htaccess-Datei in diesem Verzeichnis vorhanden

B. PHP-Version: 5.2.12

C. Seite admin.php ist definitiv vorhanden

That it's.

#7 (**permalink**) 25-02-2010, 14:23

Zitat:

Zitat von Floh007

D. Das Script zum Laufen gebracht mit

... dem Einbau genau jener Sicherheitslücke, die register_globals schon immer aufgerissen hat und wegen der es aus PHP entfernt wurde. Herzlichen Glückwunsch!

#8 (**permalink**) 25-02-2010, 14:23

Vorab:

[Invalid] Markup Validation of http://www.kidscat.ch/ - W3C Markup Validator

die Validität deiner Website ist nicht wirklich optimal (besser selber Coden, als Front Page etc. zu nutzen).

Welche Software hast du den installiert? Wofür fragst Du die Get und POST Parameter ab?
Anscheinend lief das ja schon mal, wie ich rausinterpretiert, warum hast Du dann diesen Code eingefügt?
Für mich erschließt sich auf den ersten Blick, der Sinn nicht, warum du den Wert der GET und Post Parameter der
Schlüssel Variable zuweist!? Die Informationen sind noch zu dürftig und wirklich sicher sieht das nicht aus!!

mfg streuner

#9 (**permalink**) 25-02-2010, 14:53

Habe in die admin.php den Schnipsel für Error-Anzeige eingebaut, die Fehlermeldung lautet:

Code:

Notice: Undefined variable: PHP_SELF in ../admin.php on line 40

Wie kann ich diese beheben?

#10 (**permalink**) 25-02-2010, 14:58

Hi.

Mit register_globals=on ist die Gefahr größer, dass ein Fehler im PHP-Skript ausgenutzt werden kann. Mal ein Beispiel:

if (passwort_gueltig()) {
$user_reinlassen = true;
}
if ($user_reinlassen) {
// etwas machen, was nur registrierte User machen dürfen
}

Mit register_globals=on könnte man so ein Skript einfach über eine URL aufrufen, die $user_reinlassen auf true setzt: deinesite.de
... und schon wäre der User "drin", ohne ein gültiges Passwort eingeben zu müssen.

Das mal zu dem Thema. Was für eine Software hast Du den installiert? Was steht in Zeile 40 usw.? Zudem besagt die
Fehlermeldung meist, was das Problem ist!

mfg streuner

#11 (**permalink**) 25-02-2010, 15:30

Die obigen Fehlermeldungen konnte ich lösen - jetzt ist die Loginseite sichtbar mit folgenden Fehler:

Code:

Notice: Use of undefined constant _... - assumed '_...'
in ../admin.php on line 40

Was muss ich da verändern, dass es läuft?

#12 (**permalink**) 25-02-2010, 15:39

Falls du es noch nicht kapiert hast: register_globals=on ist unsicher. Bei dir wurde es deshalb auf off gestellt.
Damit deine Scripte wieder funktionieren, musst du sie anpassen. Aber NICHT SO!

Deine Anpassung umgeht register_globals=off, denn sie macht genau das, was bei register_globals=on früher automatisch passiert ist. Damit holst du dir die Unsicherheit quasi freiwillig wieder.

Um es mal ganz drastisch auszudrücken: Du hast da eventuell gerade eine Hintertür geöffnet und jeder kann jetzt aus deinem Kidscat eine Kinderporno-Seite machen ... für die du vor Gericht den Kopf hinhalten musst! Jetzt kapiert?!