modified eCommerce Shopsoftware Support Forum

Offizielles => Ankündigungen / Neuigkeiten => Thema gestartet von: GTB am 12. Dezember 2013, 12:34:00

Titel: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: GTB am 12. Dezember 2013, 12:34:00
Liebe Community,

uns wurde eine Sicherheitslücke von Gambio GmbH gemeldet, die alle veröffentlichten Shopversionen von modified eCommerce betrifft.

Es ist jedem zu raten diese mittels angehängtem Patch zu schliessen.

Im Downloadpaket sind 2 Versionen enthalten.

- Für Versionen bis 1.03
- Für Versionen ab 1.04

Es muss nur die Datei ausgetauscht werden.

Download des Fixes: Klick mich (http://www.modified-shop.org/forum/index.php?action=downloads;sa=downfile&id=81)

Wir wünschen euch weiterhin gute Geschäfte und viel Spass mit unserer Shopsoftware.

Euer modified eCommerce Shopsoftware Team

[EDIT Tomcraft 07.01.2014: Fix-Paket in Download-Manager umgezogen.]
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: nikolaus1210 am 12. Dezember 2013, 13:16:37
Hallo GTB,

vielen Dank für die Info.

Schöne Grüße

Nikolaus1210
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Frank_R am 12. Dezember 2013, 13:51:56
Vielen Dank!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: JZ_Aqua am 12. Dezember 2013, 14:11:15
Hallo
Danke fürs schnelle informieren und bereitstellen.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Buggyboy am 12. Dezember 2013, 14:12:15
Hallo GTB und Modified Team.

Vielen Dank für Eure Mühe.

Was bewirkt den das ganze?

LG
peter
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: piru am 12. Dezember 2013, 14:12:28
Vielen Dank von mir auch!  :thumbs:
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Julia_Zinit am 12. Dezember 2013, 14:20:37
Betrifft das alle modified-Shops ohne Ausnahme?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: astaller am 12. Dezember 2013, 14:24:50
Hallo Julia,

Zitat
die alle veröffentlichten Shopversionen von modified eCommerce betrifft.

MfG
Achim S.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Joerg am 12. Dezember 2013, 15:06:07
Auch von mir ein Dankeschön!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Leprechaun am 12. Dezember 2013, 15:33:07
Was bewirkt den das ganze?
würde mich auch interessieren
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: golferteddy am 12. Dezember 2013, 15:50:03
Danke an das Team und an die Kollegen von Gambio
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: noRiddle am 12. Dezember 2013, 16:14:52
Danke an die Aufmerksamen und an das Team.

Gruß,
noRiddle
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Bonner am 12. Dezember 2013, 16:40:41
auch von mir ein DANKE an das Team!

Bonner
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: thomas57 am 12. Dezember 2013, 16:43:10
ebenfalls ein Danke an euch für das schnelle bereitstellen. Bereits ausgetauscht.
Allen ein hoffentlich ruhiges Weihnachtsfest und ein wenig Schnee.
Gruß aus dem Norden von
Thomas  8-)
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: S.Schneider am 12. Dezember 2013, 17:18:26
Auch von mir vielen Dank. Werde den Austausch sofort vornehmen.

Gruß, Stefan
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Reto_H am 12. Dezember 2013, 17:25:20
vielen Dank und beste Grüsse
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Cicero am 12. Dezember 2013, 18:18:58
Ebenfalls DANKE für die schnelle Reaktion. Sollte jetzt schnell umgesetzt werden, weil:
http://www.heise.de/newsticker/meldung/Tausende-Online-Shops-auf-Basis-von-xt-Commerce-akut-bedroht-2065104.html (http://www.heise.de/newsticker/meldung/Tausende-Online-Shops-auf-Basis-von-xt-Commerce-akut-bedroht-2065104.html)

Gruß Cicero
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Morgenstund am 12. Dezember 2013, 18:51:27
Dankeschön :)
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: web4design am 12. Dezember 2013, 19:28:51
Hi.

Ich habe die Datei mal mit nem SP1d-Shop abgeglichen. Es gibt keine Unterschiede.

Wirklich für alle Shops?

Gruß

PS. Natürlich dennoch danke ;)
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: fishnet am 12. Dezember 2013, 19:31:52
 :king:

danke
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: fluxcomp am 12. Dezember 2013, 19:37:59
Auch von uns ein dickes Danke
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: KAT am 12. Dezember 2013, 20:10:27
Danke.  :thumbs:
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: cayuco am 12. Dezember 2013, 20:13:12
Auch von mir ein Danke Schön :-)
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: noRiddle am 12. Dezember 2013, 20:14:09
Hi.

Ich habe die Datei mal mit nem SP1d-Shop abgeglichen. Es gibt keine Unterschiede.

Wirklich für alle Shops?

Gruß

PS. Natürlich dennoch danke ;)

Da gibt es gravierende Unterschiede, bist du sicher, daß du die Patch-Datei mit 1.05 SP1d verglichen hast ?  ‘:-/

Gruß,
noRiddle
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: billybob am 12. Dezember 2013, 20:31:26
Danke, GTB für den FIX.

Ich hätte noch einen Vorschlag für die Zukunft:

Eine eMail an alle Forenbenutzer, denn es gibt bestimmt einige, die nicht jeden Tag ins Forum schauen.

Gruß
billybob
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: web4design am 12. Dezember 2013, 20:46:29
@noRiddle
Eigentlich schon. Ich habe keine Ahnung warum die Datei schon identisch war.

Hab jetzt mal nen anderen Shop genommen und da sehe ich dann doch ein paar Unterschiede.

Sorry, mein Fehler.

Gruß
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Tios am 12. Dezember 2013, 20:48:46
Vielen Dank für den schnellen Fix!  :thx:
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: testb am 12. Dezember 2013, 20:57:04
Herzlichen Dank für die schnelle Bereitstellung!  :-)
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Modfan am 12. Dezember 2013, 21:01:41
Danke für die Info hier!

Ich habe die Patch-Datei in unseren Shop (1.05d) geladen und sehe gerade im Admin unter "Wer ist online" bei "Name", wo entweder der eingeloggte User oder eine IP steht, den Eintrag [Suchmaschine].
Bin grad etwas verunsichert. Weiß jemand, was das zu bedeuten hat? Das war vorher nicht.
Bin für jeden Hinweis dankbar!

Grüße

EDIT: Die IP sieht nicht nach der einer Suchmaschine aus.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: KAT am 12. Dezember 2013, 21:07:21
@Modfan

Alles wird gut. Keine Panik.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Modfan am 12. Dezember 2013, 21:16:52
Danke KAT! Das klingt etwas beruhigend!
Kannst Du mir bitte sagen, wie die Rechte für die Datei gesetzt werden müssen?
Wäre super!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: jannemann am 12. Dezember 2013, 21:44:47
Auch von meiner Seite ein herzliches Dankeschön fürs Teilen!

Schöne Grüße,
Jan
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: MoHo am 12. Dezember 2013, 23:17:32
super schnelle Reaktion! Danke.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: cYbercOsmOnauT am 12. Dezember 2013, 23:19:54
Der Unterschied ist eigentlich nur eine einzige Zeile, aber die hat es (leider) in sich.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Archetim am 12. Dezember 2013, 23:43:39
Ebenfalls ein herzliches Danke.
Schöne Grüße
Rene
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Leprechaun am 12. Dezember 2013, 23:51:43
Der Unterschied ist eigentlich nur eine einzige Zeile, aber die hat es (leider) in sich.
Und worin genau besteht dieses "in sich haben"?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: cYbercOsmOnauT am 13. Dezember 2013, 00:06:48
Wurde doch schon gesagt. Man kann es ausnutzen um Adminaccounts zu kapern.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: easy am 13. Dezember 2013, 00:47:56
VIELEN DANK!!!  :worship:

Grüße,
easy
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: TrueSlide am 13. Dezember 2013, 01:56:03
Von mir auch einen Dank für die Bereitstellung. Direkt eingebaut!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: dreckie am 13. Dezember 2013, 02:31:03
Vielen Dank  :thx: !! Finde es super das einem so etwas direkt in der oberfläche angezeigt wird!..andernfalls hätte ich es sicherlich nicht mitbekommen! Allen einen erfolgreichen Dezember & Frohes Fest!  :-)
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: baustelle am 13. Dezember 2013, 06:59:07
Wie gut, dass der Patch noch vor Freitag dem 13. kam... heute wärs bestimmt passiert  :-D

THX auch von mir!  :worship:

Chris
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: jumpM am 13. Dezember 2013, 07:32:15
Hallo,

auch von mir ein fettes DANKESCHÖN  :king:

Gruss
Robert
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: liebenswerter am 13. Dezember 2013, 07:47:43
Herzlichen Dank   :-)
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: voodoopupp am 13. Dezember 2013, 07:50:13
Auch von mir für euren super Service und unermüdliche Arbeit ein recht herzliches :thx:

Grüße
Dominik
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: mosa65 am 13. Dezember 2013, 07:53:06
 :morning: GTB,

Auch von mir ein Herzliches Dankeschön,

Wünsche allen einen schönen Tag.

Gruss Marcel
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Phantom am 13. Dezember 2013, 08:12:57
Auf der Gambio Seite mit dem Patch gibt es auch einen Patch für xtc 3.04 SP2.1 und für Modified. Da wird aber die admin/whos_online.php gefixt. Gibt es zwei verschiedene Lösungen für das gleiche Problem?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Shaggy am 13. Dezember 2013, 08:39:19
Ein herzliches Dankeschön!
MfG Shaggy
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Georg - SOPO am 13. Dezember 2013, 08:43:51
danke  :thx:
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Tigerkne am 13. Dezember 2013, 08:47:09
Auf der Gambio Seite mit dem Patch gibt es auch einen Patch für xtc 3.04 SP2.1 und für Modified. Da wird aber die admin/whos_online.php gefixt. Gibt es zwei verschiedene Lösungen für das gleiche Problem?

Genau das würde mich auch interessieren...
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: knecht2020 am 13. Dezember 2013, 09:00:36
Auch von mir ein fettes  :thx:

Gruß
Werner
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: mene am 13. Dezember 2013, 09:29:33
Hi. Zunächst ein "Danke!" für den schnellen Patch!

Ich wüsste gerne etwas mehr - wie finde ich raus, ob ein Shop eventuell vor dem Patch kompromittiert wurde?
Was genau wurde da gefixt? Ein diff auf die Dateien zeigt ganz schön viel Gemüse an...

Danke!

Gruß
mene
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: slimeee am 13. Dezember 2013, 10:02:18
Danke fürs bereitstellen. :)
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Alfred am 13. Dezember 2013, 10:08:09
Gibt es zwei verschiedene Lösungen für das gleiche Problem?

Ist das nicht logisch?
Es sind unterschiedliche Entwickler.
Du solltest die Version hier aus dem Forum nehmen.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Modulfux am 13. Dezember 2013, 10:11:10
Zitat
Gibt es zwei verschiedene Lösungen für das gleiche Problem?

Bei Gambio wird die Anzeige und somit erst die Ausgabe aus der DB gefixt und hier bei modified wird bereits er Eintrag in die DB gefixt.

Gruß
Ronny
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 13. Dezember 2013, 10:26:29
Guten Morgen,

die Datei konnte ich problemlos austauschen, allerdings wird mir aktuell bei einigen IPs als Name [TEXT_SEARCH_ENGINE_AGENT] angezeigt und wenn ein neuer Bot auftaucht verschwindet der Eintrag des ersten Bots sofort aus der Liste.

Gibt's da noch weitere Änderungen die ich ggf. in den Sprachdateien vornehmen muss und warum wird nur max. 1 Bot angezeigt?

Für Infos vorab vielen Dank.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: tsoukis am 13. Dezember 2013, 10:43:25
Danke für die rasche Bereitstellung.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: p3t6 am 13. Dezember 2013, 10:47:33
Vielen Dank für die Bereitstellung.
Liebe Grüße
Peter
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: innuXTC am 13. Dezember 2013, 11:37:53
Servus,

wem der Eintrag "[TEXT_SEARCH_ENGINE_AGENT]" stört, kann einfach in der Datei "lang/german/german.php"

Code: PHP  [Auswählen]
define('TEXT_GUEST',' Gast');

suchen und darunter (ca. Zeile 278)

Code: PHP  [Auswählen]
define('TEXT_SEARCH_ENGINE_AGENT',' Suchmaschine');

einfügen.

Die Klammern [ ] sind in der Datei "xtc_update_whos_online.inc.php" definiert. Diese würde ich aber drinlassen, da ich davon ausgehe, dass diese nicht aus Spass eingefügt worden sind! :)

Vg,
innuXTC
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 13. Dezember 2013, 11:43:37
Hallo,

warum wird denn nur maximal ein Bot in der Liste angezeigt?
Sobald ein neuer Bot auftaucht, verschwindet der Eintrag des ersten Bots.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Matt am 13. Dezember 2013, 11:50:13
Das komische ist: In meinen 3.04 SP2.1 Shops ist die Stelle schon gefixt. Und ich kann mich nicht erinnern, das jemals gemacht zu haben.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Ello am 13. Dezember 2013, 12:03:09
Danke, auch "semi"-ausgetauscht.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: inception am 13. Dezember 2013, 12:03:32
Danke!
Kann man eigentlich den Patch mit dem von Gambio kombinieren ohne das sich die beiden Ansätze ins Gehege kommen?
Ich habe das bei einem 3.04 SP2.1 shop gemacht und der läuft bisher problemlos.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: web28 am 13. Dezember 2013, 12:15:15
Kann man machen, muss man aber nicht.

Das ist so, dass man zum Gürtel noch zusätzlich Hosenträger anzieht! :-D

Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Zoralina am 13. Dezember 2013, 12:23:45
ganz dumme Frage: wo sehe ich, welche Version ich habe?

danke!
Zoralina
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: innuXTC am 13. Dezember 2013, 12:26:08
Hi Zoralina,

im Admin-Bereich oben rechts auf den Stern "Credits" klicken.

Vg,
innuXTC
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Matt am 13. Dezember 2013, 12:49:58
Ich habe das bei einem 3.04 SP2.1 shop gemacht und der läuft bisher problemlos.

Es gibt von Gambio einen inoffiziellen Patch für 3.04 SP2.1
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: modie am 13. Dezember 2013, 13:04:00
Auch von mir, vielen Dank!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: kaisa am 13. Dezember 2013, 14:39:21
Seit ich dem Patch habe, funktioniert mein Shop nicht mehr. Ich kann kein Login/Checkout machen, kein Produkt in den Warenkorb legen und erhalte nach error_log aktivierung:
Code: PHP  [Auswählen]
Warning: session_start(): Cannot send session cache limiter - headers already sent (output started at /var/www/virtual/domain.com/htdocs/shop/inc/xtc_update_whos_online.inc.php:85) in /var/www/virtual/domain.com/htdocs/shop/includes/application_top.php on line 281
 

Woran kann das liegen?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: cYbercOsmOnauT am 14. Dezember 2013, 01:34:15
Schau mal in /var/www/virtual/domain.com/htdocs/shop/inc/xtc_update_whos_online.inc.php auf Zeile 85. Laut Fehlermeldung findet dort eine Ausgabe statt. Ich denke mal Du hast die Datei unvollstädig hochgeladen.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: kaisa am 14. Dezember 2013, 05:52:08
danke, war eine Leerzeile am Ende zu viel.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Talismann am 14. Dezember 2013, 12:48:42
Hallo, ich habe gerade die Warnmeldung von Magnalister gelesen und eben den ganzen Beitrag gelesen.
Ich habe die Shopssoftware v1.06 rev 4642
davon liest man aber nichts hier.

Muss die hier auch ausgetauscht werden?

Vielen Dank vorab für die Antwort
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: modifnick am 14. Dezember 2013, 12:57:32
 :thx: ans Team!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Talismann am 14. Dezember 2013, 13:33:48
Entschuldigung habe scheinbar doch nicht richtig gelesen. Für alle Versionen.

Habe nun die eine Datei ausgetauscht.

Vielen Dank an alle für die schnelle Info.

LG Michael
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: ReiniB am 14. Dezember 2013, 14:08:27
Danke!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 14. Dezember 2013, 14:14:56
Warum wird denn maximal nur ein Bot/Crawler angezeigt?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: extrem am 14. Dezember 2013, 14:18:17
Hallo Danke erstmal.

Auf der Gambio Seite
http://www.gambio.de/security-patch-dez2013-div.html (http://www.gambio.de/security-patch-dez2013-div.html)

wird eine Datei im Admin getauscht. Muss das auch gemacht werden ?

Unten der Anhang mit der Datei.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Scubi am 14. Dezember 2013, 15:57:10
Vielen Dank an Team.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: weichen-walter am 14. Dezember 2013, 16:55:23
Vielen Dank an das Team!

Zitat
Ich hätte noch einen Vorschlag für die Zukunft:

Eine eMail an alle Forenbenutzer, denn es gibt bestimmt einige, die nicht jeden Tag ins Forum schauen.

Würde ich auch begrüßen!!!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: web28 am 14. Dezember 2013, 18:24:10
Hallo Danke erstmal.

Auf der Gambio Seite
http://www.(( Wir dulden keine kommerziellen Werbelinks - Bitte Forenregeln beachten! ))/security-patch-dez2013-div.html (http://www.(( Wir dulden keine kommerziellen Werbelinks - Bitte Forenregeln beachten! ))/security-patch-dez2013-div.html)

wird eine Datei im Admin getauscht. Muss das auch gemacht werden ?

Unten der Anhang mit der Datei.

Nein!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: extrem am 14. Dezember 2013, 18:25:56
Dankeschön!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: karl am 14. Dezember 2013, 18:39:27
Vielen Dank!!!
 :king:
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 14. Dezember 2013, 18:51:48
Kleine Anregung: Könnte man den Thread mal bereinigen, damit gestellte Fragen nicht untergehen und unbeantwortet bleiben?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Liezeu am 14. Dezember 2013, 18:54:39
Auch von mir vielen Dank!!!  :!:
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Mike Randoo am 14. Dezember 2013, 19:43:51
Von mir ein großes Danke für die unermüdliche Arbeit  :thumbs:
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Leprechaun am 14. Dezember 2013, 22:07:05
Kleine Anregung: Könnte man den Thread mal bereinigen...

Gute Idee

...damit gestellte Fragen nicht untergehen und unbeantwortet bleiben?

z.B. diese hier

Warum wird denn maximal nur ein Bot/Crawler angezeigt?

Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Leprechaun am 14. Dezember 2013, 22:07:41
Leicht OT, aber beim Versuch meinen vorigen Beitrag zu speichern kam das hier: Wrong value type sent to the database. Array of integers expected. (quoteids)

Gespeichert wurde er aber trotzdem...
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: pomm am 15. Dezember 2013, 21:04:24
Hallo!

Wenn ich die Installationsanleitung öffne kommt:
[attach=1]

Das sagt mir leider nicht viel, kann mir das jemand erklären?

Danke!
LG
Pomm
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Matt am 15. Dezember 2013, 22:51:38
Das ist nicht die Installationsanleitung. Die Installationsanleitung beginnt nicht mit ._
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: itratosTeam am 16. Dezember 2013, 09:32:41
Hallo zusammen,

wir empfehlen immer allen Shopbetreibern den Einsatz von PHPIDS.

GITHUB: https://github.com/PHPIDS/PHPIDS
Download: https://github.com/PHPIDS/PHPIDS/archive/master.zip

PHPIDS analysiert nicht nur mögliche Angriffe, es kann PHP Prozesse ab einem Angriffswert (IMPACT) z.b. 40 abbrechen und schlimmeres verhindern.
Des weiteren kann man kann sich auch benachrichtigen lassen und erfährt per eMail was manche User im Shop treiben.

Grüße
itratosTeam
Walter Timo Panitz
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: piru am 16. Dezember 2013, 10:42:43
Hallo,

in einem alten Shop hat nicht richtig geklappt, folgende Fehler:

Code: SQL  [Auswählen]
1054 - UNKNOWN COLUMN 'http_referer' IN 'field list'

INSERT INTO whos_online (customer_id, full_name, ip_address, time_last_click, last_page_url, time_entry, session_id, http_referer) VALUES ('', 'Visiteur', '195.226.189.186', '1387186579', '/', '1387186579', '290fe6e4a31657b9251053fe0c7f15ba', '---')

Ich habe in der DB die Version geguckt, da steht: 3.0.4.0... obwohl ich fast sicher bin dass ein modified Shop ist, aber nur fast...
Oder ist der noch ein xtc Commerce und muss ich den Patch irgendwo anders suchen?

Gruß piru
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: fishnet am 16. Dezember 2013, 10:56:01
Schau mal im Adminbereich rechts oben bei CREDITS
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: piru am 16. Dezember 2013, 11:40:07
Ich kann mich überhaupt nicht anmelden, ich kann noch nicht mal den Shop aufrufen und kommt der Fehlermeldung...
Wenn ich versuche unter www.shop.de/admin kommt folgende Fehler:
Code: PHP  [Auswählen]
1054 - Unknown column 'http_referer' in 'field list'

insert into whos_online (customer_id, full_name, ip_address, time_last_click, last_page_url, time_entry, session_id, http_referer) values ('', 'Visiteur', '195.226.189.186', '1387190284', '/login.php?XTCsid=b9b7565eebdc814c2ac2f1a9407ba562', '1387190284', 'b9b7565eebdc814c2ac2f1a9407', '---')

das selbe...

Gruß piru
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: fishnet am 16. Dezember 2013, 11:44:09
FÜhre folgenden Befehl in der Datenbank aus:

Code: SQL  [Auswählen]
ALTER TABLE whos_online
ADD http_referer VARCHAR(255) NOT NULL DEFAULT '' AFTER last_page_url;
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: piru am 16. Dezember 2013, 12:00:43
Danke fishnet, jetzt gehr es wieder!  :thumbs:

Gruß piru
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: karl am 16. Dezember 2013, 12:26:32
Hallo zusammen,

wir empfehlen immer allen Shopbetreibern den Einsatz von PHPIDS.


Mal an die Experten hier im Forum: Ist das zu empfehlen? Gibt es so was auch in Deutsch?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: cillex am 16. Dezember 2013, 21:31:41
Vielen Dank für das schnelle Bereitstellen!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Matt am 16. Dezember 2013, 21:46:09
Mal an die Experten hier im Forum: Ist das zu empfehlen? Gibt es so was auch in Deutsch?

Ist halt wie jeder Spam-Filter: Kann funktionieren, muss aber nicht. Aber in dem Fall würde ich sagen lieber ne Warnung zu viel als eine zu wenig.

Primäres Problem, das ich sehe ist, dass modified derzeit nicht auf Composer als primäre Installationsquelle setzt. Aber vielleicht hat ja das itratosTeam hier eine Installationsanleitung für Umgebungen ohne Composer.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: h-h-h am 16. Dezember 2013, 22:52:28
Hallo zusammen,

wir empfehlen immer allen Shopbetreibern den Einsatz von PHPIDS.


Mal an die Experten hier im Forum: Ist das zu empfehlen? Gibt es so was auch in Deutsch?

Hallo,
PHPIDS wird für modified selbst nicht benötigt, alle POSTs und GETs sind bereits über die application_top gegen XSS und SQLI abgesichert.

Anders sieht es bei den Modulen aus, da gibt es einge, welche nicht die von modified vorgegebene Struktur einhalten und z.B. in der Hauptebene eigene Verzeichnisse anlegen, in denen Dateien liegen, welche eigentlich nicht direkt ausgeführt werden sollten und somit globale Sicherheitsvorkehrungen umgehen.
Wenn bei den Erweiterungen, Scripte unabhängig sind und nicht auf die Shopinternen Sicherheitsroutinen zugreifen, würde eine Einbindung von PHPIDS über die application_top.php auch keinen Sinn machen. Somit sollten die Module geprüft werden und um die vorhandenen Sicherheitsprüfungen erweitert werden.

Freundlichen Gruß,

h-h-h
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: cayuco am 17. Dezember 2013, 11:35:30
Hallo, habe in meinen Logs ein paar Einträge der folgenden Art gefunden:
Zitat
http://www.exyz.de/xyz/function.mysql-connect

Kann das etwas mit dem hier behandelten Problem zu tun haben?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: m1 am 18. Dezember 2013, 15:18:19
Hi,
in einem unserer Shops (v1.05) werden seit dem Patch Einträge mit [TEXT_SEARCH_ENGINE_AGENT] ausgegeben, die sich teilweise mehrere Stunden auf der gleichen Seite aufhalten.
Das ist doch seltsam ... was kann das sein?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: MarcoJ1980 am 18. Dezember 2013, 15:27:03
Vielen Dank an euch !! Ihr macht alle ein tollen Job !!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: teekilla am 18. Dezember 2013, 16:41:12
Hi,
in einem unserer Shops (v1.05) werden seit dem Patch Einträge mit [TEXT_SEARCH_ENGINE_AGENT] ausgegeben, die sich teilweise mehrere Stunden auf der gleichen Seite aufhalten.
Das ist doch seltsam ... was kann das sein?

Wenn du nen Sprachpaket hast, wo der Text für "Suchmaschine" nicht definiert ist, taucht halt [TEXT_SEARCH_ENGINE_AGENT] auf.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: m1 am 18. Dezember 2013, 17:42:41
Hallo teekilla,
ich hab das nicht korrekt ausgefühet. Es geht mir nicht um die Anzeige sondern darum, dass dieser "Besucher" Suchmaschine teilweise stundenlang auf der gleichen Seite verbringt. Das beobachte ich erst seit dem Patch.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 18. Dezember 2013, 18:08:44
... genau wie ich seit dem Patch beobachte, dass selbst wenn mehrere Suchmaschinen im Shop unterwegs sind, immer nur eine und zwar jene, welche zuletzt eine Seite aufgerufen hat, in der Liste angezeigt wird.

Als Anlage mal ein Beispiel als Screenshot.
Man kann sehen, das durch die IP-Adresse mehrere Bots erkannt werden, aber nur der letzte, in dem Fall der Google bot, in der Spalte Name als Suchmaschine erkannt und ausgewiesen wird.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: pomm am 18. Dezember 2013, 20:06:02
Danke an das Team und Forum!
LG
Pomm
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: h-h-h am 18. Dezember 2013, 23:05:59
Man kann sehen, das durch die IP-Adresse mehrere Bots erkannt werden, aber nur der letzte, in dem Fall der Google bot, in der Spalte Name als Suchmaschine erkannt und ausgewiesen wird.

Es werden nur die Crawler/Bots mit "[Suchmaschine]" getaggt, die auch in der Liste der /inc/xtc_check_agent.inc.php sind und sich identifizieren lassen wollen. Wir können diese Datei gerne um ein paar Namen erweitern.

SohuBot und BaiduBot sind z.B. nicht enthalten.

Viele Grüße,
h-h-h
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 18. Dezember 2013, 23:24:54
Hallo,

es scheint viel weniger ein Problem der Bot-Erkennung zu sein, als eines der Anzeige.
Es wird nie mehr als ein Bot zur gleichen Zeit erkannt/angezeigt, auch wenn mehrere, vom System erkennbare Bots im Anzeigezeitraum gleichzeitig online sind.

Selbst wenn z.B. der BaiduBot mit in die Liste aufgenommen wird, steht unter Name nicht Suchmaschine. Wenn im Anzeigezeitraum ein anderer, erkannter Bot auftaucht, verschwidet der Eitrag des zuvor erkannten Bot sofort aus der Liste.

Es wird seit dem Patch grundsätzlich nie mehr als ein Bot angezeigt.

Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: h-h-h am 18. Dezember 2013, 23:53:38
Guten Abend,
bitte testet mal die Datei aus dem Anhang und prüft es im Admin.

Viele Grüße,
h-h-h
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 19. Dezember 2013, 00:04:14
Hallo,

so ist es schon viel besser (siehe Anlage), aber der angezeigte Name des jeweiligen Bots ist nun ein wenig verwurstet ;-)

Kann man evtl. einfach den Namen des Bots ausgeben, so wie er in der Liste (/inc/xtc_check_agent.inc.php) steht?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: h-h-h am 19. Dezember 2013, 00:30:19
Hallo 0815, Hallo zusammen,
bitte testet mal eines der neuen Pakete aus dem Anhang, die Version 2 gefällt mir ein bisschen besser.
Die xtc_check_agent.inc.php wurde jetzt auch etwas überarbeitet.

Viele Grüße,

h-h-h
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 19. Dezember 2013, 00:41:37
Hallo,

Im Moment ist bei mir entweder nicht mehr so viel los, oder es liegt an den Änderungen der beiden Pakete.
Jedenfalls konnte ich bisher nur einen Unterschied zwischen beiden Versionen erkennen.

-Bei Version 1. erhalten alle Bots vorne 'nen grünen Punkt (für "aktiv/Artikel im Warenkorb") und bei Version 2. einen weißen (für "keine Session/Bot").

-Bei beiden Versionen steht jetzt bei allen erkannten Bots "[Suchmaschine - bot]" und nicht der Name des Bots. Ist das so gewollt?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: h-h-h am 19. Dezember 2013, 00:50:24
Hallo 0815,
nimm bitte die neue xtc_check_agent.inc.php.
Da "bot" im Array welches durchlaufen wird recht weit vorne war, werden alle UserAgents welche das Wort "bot" auch enthalten einfach nur als "bot" dargestellt.

Ein weiterer Vorteil an v3 ist, dass Besucher/Kunden/Admins mit der gleichen Session nicht zusammengefasst werden, da jetzt zusätzlich die IP geprüft wird. Somit könnten aber auch Kunden doppelt vorkommen, wenn die IP sich geändert hat und keine neue Session generiert wurde.

Wünsche eine gute Nacht,

h-h-h
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 19. Dezember 2013, 01:01:17
Hallo,

vielen Dank, so werden die Namen ausgegeben :-)

Kann man die eckigen Klammern um den Namen entfernen, oder haben die mehr als einen optischen Nutzen?
Außerdem habe ich folgendes festgestellt. Wenn der letzte Besucher ein Bot ist, werden alle Bots grau hinterlegt, so als hätte man Sie alle gleichzeitig per Klick markiert. Kann man das irgendwie für die Bots abstellen?

Wünsche Dir ebenso eine gute Nacht.

[edit] ... wenn ein Bot länger im Shop unterwegs ist, wird er auch mehrfach angezeigt (was so auch ok ist und vor dem Patch auch so war), allerdings ändert sich die angezeigte "Letzte URL" nicht und ist in allen Zeilen für den entsprechenden Bot identisch.
Die jeweils angezeigte Startzeit ist dabei unterschiedlich, jedoch nicht in der korrekten Reihenfolge und die Zeit "Letzer Click" ist bei allen Einträgen auch identisch.

Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: h-h-h am 19. Dezember 2013, 01:20:19
Hallo 0815

admin/whos_online.php
Suche:
Code: PHP  [Auswählen]
              while ($whos_online = xtc_db_fetch_array($whos_online_query)) {
                $time_online = (time() - $whos_online['time_entry']);
                if ((!isset($_GET['info']) || (isset($_GET['info']) && ($_GET['info'] == $whos_online['session_id']))) && !isset($info) ) {
                  $info = $whos_online['session_id'];
                }
                if ($whos_online['session_id'] === $info) {
                  echo '              <tr class="dataTableRowSelected">' . "\n";
                  } elseif (($whos_online['session_id'] == '') || (substr($whos_online['session_id'],0,1) == '[')) {
                    echo '              <tr class="dataTableRow">' . "\n";
                } else {
                  echo '              <tr class="dataTableRow" onmouseover="this.className=\'dataTableRowOver\';this.style.cursor=\'pointer\'" onmouseout="this.className=\'dataTableRow\'" onclick="document.location.href=\'' . xtc_href_link(FILENAME_WHOS_ONLINE, xtc_get_all_get_params(array('info', 'action')) . 'info=' . $whos_online['session_id'], 'NONSSL') . '\'">' . "\n";
                }
Ersetze mit:
Code: PHP  [Auswählen]
              while ($whos_online = xtc_db_fetch_array($whos_online_query)) {
                $time_online = (time() - $whos_online['time_entry']);
                if ((!isset($_GET['info']) || $_GET['info'] == $whos_online['session_id'])
                    && (!isset($_GET['ip']) || $_GET['ip'] == $whos_online['ip_address'])
                    && (!isset($info) || !isset($ip))) {
                  $info = $whos_online['session_id'];
                  $ip = $whos_online['ip_address'];
                }
                if ($whos_online['session_id'] === $info && $whos_online['ip_address'] === $ip) {
                  echo '              <tr class="dataTableRowSelected">' . "\n";
                } elseif ($whos_online['session_id'] == '') {
                    echo '              <tr class="dataTableRow">' . "\n";
                } else {
                  echo '              <tr class="dataTableRow" onmouseover="this.className=\'dataTableRowOver\';this.style.cursor=\'pointer\'" onmouseout="this.className=\'dataTableRow\'" onclick="document.location.href=\'' . xtc_href_link(FILENAME_WHOS_ONLINE, xtc_get_all_get_params(array('info', 'ip', 'action')) . 'info=' . $whos_online['session_id']. '&ip=' . $whos_online['ip_address'], 'NONSSL') . '\'">' . "\n";
                }

Der Bug ist auch schon etwas älter, damit wird dann nur der erste oder ausgewählte grau markiert.

Wenn du diese Änderung gemacht hast, kannst du auch in der xtc_update_whos_online.inc.php deine eckigen Klammern entfernen, einfach Zeile 35 in der v3 mit folgendem ersetzen.

Code: PHP  [Auswählen]
$wo_full_name = TEXT_SEARCH_ENGINE_AGENT.' - '.$crawler;

Viele Grüße,
h-h-h
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: cayuco am 19. Dezember 2013, 07:27:57
Dank an Alle, die hier geholfen haben.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 19. Dezember 2013, 09:21:43
Guten Morgen und vielen Dank an h-h-h.

So wie ich das sehe, gibt es jedoch noch einige Probleme mit den Dateien ... jedenfalls bei mir.

Bots die länger auf der Seite unterwegs sind erhalten für jeden Seitenaufruf eine eigene Zeile in der Liste, was ja so weit auch ok ist.

Leider ist bei allen Einträgen die Zeitangabe für den letzten Klick und die Ausgabe der letzten URL identisch. Darüber hinaus sind die angegebenen Startzeiten für den Bot dann nicht in der korrekten Reihenfolge, sonder völlig durcheinander.

Bzgl. der Zeitangaben siehe Anlage:
... das Problem mit den identischen URLs finde ich jedoch wichtiger, aber vermutlich hängt ja alles irgendwie zusammen?!
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: viza am 19. Dezember 2013, 09:44:07
In der "admin/whos_online.php" wird ja auch ein evtl. vorhandener Warenkorb angezeigt, dabei ist mir aufgefallen, dass dort der Warenkorbwert unformatiert dargestellt wird. Wen das stört:

suchen:

Code: PHP  [Auswählen]
          $contents[] = array('align' => 'right', 'text'  => TEXT_SHOPPING_CART_SUBTOTAL . ' ' . $user_session['cart']->total . ' ' . $user_session['currency']);
 

ersetzen mit:

Code: PHP  [Auswählen]
          $contents[] = array('align' => 'right', 'text'  => TEXT_SHOPPING_CART_SUBTOTAL . ' ' . number_format($user_session['cart']->total, 2, ',','.') . ' ' . $user_session['currency']);
 
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 19. Dezember 2013, 10:06:03
[edit] ... gelöscht ;-)
Problem besteht weiterhin.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 19. Dezember 2013, 11:41:05
Ich kann den Fehler nicht nachvollziehen.
Es betrifft nicht alle Bots, aber leider die meisten (Bing, Google, etc.).

Die Zeit für den letzten Klick, sowie die URL bleibt identisch, die Startzeit hingegen ändert sich permanent.
Was die Zeiten angeht sollte es doch eigentlich umgekehrt sein und da die Bots von Seite zu Seite springen, sollte doch auch die URL für jede Zeile unterschiedlich sein.

Vor dem Patch hat alles korrekt funktioniert.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: h-h-h am 19. Dezember 2013, 14:53:47
Hallo 0815,
hier eine neue Version, hatte eine Zeile übersehen.

Viele Grüße,
h-h-h
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: teekilla am 19. Dezember 2013, 17:59:39
Moin.

Wo wir eh grad dabei sind.

Ich hab seit einigen Wochen schon, Besucher mit ips von 180.76.5.62, 180.76.6.157, 180.76.6.51, usw.
Eigentlich beginnen alle mit 180.76.5 oder 180.76.6

Und führen laut utrace alle zu

Provider:       Beijing Baidu Netcom Science and Technology Co., L
Organisation:   Beijing Baidu Netcom Science and Technology Co.
Region:       Beijing (CN)

Hat da jemand ähnliches? Oder ne Lösung, wie dieser, ich nenne es mal, Spambesuch, unterbunden werden kann?
Ich weiss nicht mal was die bezwecken wollen, weil ich auch gar keine Chinesischen Inhalte habe.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Modulfux am 19. Dezember 2013, 18:13:30
Sperre doch den Bot oder die IP-Range in der .htaccess aus.

Gruß
Ronny
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: fishnet am 19. Dezember 2013, 20:44:23
Gut:
Das der Fix im aktuellen Download ist.
Nicht so gut:
Das wieder mit verschiedener Versionen der gleichen Revisionsnummer gearbeitet wird.
Just my 2 Cent ...
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 20. Dezember 2013, 14:19:28
Hallo 0815,
hier eine neue Version, hatte eine Zeile übersehen.

Viele Grüße,
h-h-h

Hallo,

die letzte Version funktioniert einwandfrei. Vielen Dank.  :thx:

Ich versuche jetzt nur noch die Bot-Liste in der /inc/xtc_check_agent.inc.php zu optimieren.
Probleme bereiten mir da einige msn- und bing-bots, sowie der baidu-bot, dieser allerdings nur, wenn die IP dem japanischen Netz zugeordnet ist. Die baidu-bots aus dem chinesichen Netz werden korrekt zugeordnet.

Scheinbar werden bei msn/bing und baidu stellenweise keine Kennungen übergeben, so dass immer nur bot angezeigt wird.
Kann man das irgendwie anders filtern/erkennen, um eine korrekte Zuweisung zu erreichen?
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Archetim am 21. Dezember 2013, 19:15:15
Hallo an alle!

Zuerst Danke für das Bereitstellen des Fixes.

Aber mir ist aufgefallen, das die Ansicht bei uns abweicht - siehe Screenshot im Anhang. Feldreihenfolge und vor allem GEO-IP Infos fehlen. Ich habe auch die aktuelle Version nochmals herunter geladen und die Datei "admin/whois_online.php" verglichen. Es gibt keinen Unterschied.
Wir benutzen die aktuelle Version 1.06-r4642.

Jetzt die Frage: Woher habe ihr die Version der "admin/whois_online.php" die auch GEO-IP Infos anzeigt?

Viele Grüße
Rene
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: h-h-h am 21. Dezember 2013, 21:17:58
Hallo 0815,
hier eine neue Version, hatte eine Zeile übersehen.

Viele Grüße,
h-h-h

Hallo,

die letzte Version funktioniert einwandfrei. Vielen Dank.  :thx:

Ich versuche jetzt nur noch die Bot-Liste in der /inc/xtc_check_agent.inc.php zu optimieren.
Probleme bereiten mir da einige msn- und bing-bots, sowie der baidu-bot, dieser allerdings nur, wenn die IP dem japanischen Netz zugeordnet ist. Die baidu-bots aus dem chinesichen Netz werden korrekt zugeordnet.

Scheinbar werden bei msn/bing und baidu stellenweise keine Kennungen übergeben, so dass immer nur bot angezeigt wird.
Kann man das irgendwie anders filtern/erkennen, um eine korrekte Zuweisung zu erreichen?

Hallo 0815,
hatte erst auf den Beitrag von dir gewartet und ihn dann übersehen.
Werde das ganze noch etwas aufarbeiten und dann in die nächste Version implementieren.

Ja, man kann dies ins Unermessliche erweitern auf eine IP/IP-Range Prüfung und mit einer bot-trap, doch wenn der Crawler nicht erkannt werden möchte, dann schafft der es auch.

Ich danke dir für deine Tests und das Feedback!

Viele Grüße,

h-h-h
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 21. Dezember 2013, 23:34:08
Zitat
hatte erst auf den Beitrag von dir gewartet und ihn dann übersehen.

Ja, dass liegt in disem Thread vermutlich an den unzähligen Danksagungen, die leider wenig zur Optimierung beitragen und alles sehr unübersichtlich gemacht haben. Dadurch ist wohl einiges untergegangen.
Vielleicht kann man den Thread diesbezüglich ja mal bereinigen.

Wie auch immer, vielen Danke für Deine Hilfe.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: polar am 23. Dezember 2013, 12:56:05
Hallo,

besten Dank für den wichtigen Patch. Habe dazu aber eine Frage:
Bei uns im inc Ordner sind ja jede menge Dateien. Beim Patch ist aber nur eine einzige. In der Anleitung steht aber dass ich den ganzen Ordner austauschen soll. Ich bin daher ein bischen verwirrt.
Soll ich denn ganzen inc Ordner austauschen oder nur die eine Datei?

XTmod Version 1.05
Kenntnisse Mittel

Besten Dank
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: piru am 23. Dezember 2013, 13:14:39
Nur die Datei

Gruß piru
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: polar am 23. Dezember 2013, 16:16:48
Besten Dank für die schnelle Info.

Wie kann man den überprüfen ob die Lücke denn nun wirklich geschlossen ist?
Gibt es da eine Möglichkeit??
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: h-h-h am 23. Dezember 2013, 16:36:51
Möchtest du hier erklärt bekommen wie man die Lücke ausnutzt?

Einfach die Datei austauschen oder einen Dienstleister um eine Prüfung bitten.

Viele Grüße,
h-h-h
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Archetim am 24. Dezember 2013, 07:14:45
Hallo an alle!

Zuerst Danke für das Bereitstellen des Fixes.

Aber mir ist aufgefallen, das die Ansicht bei uns abweicht - siehe Screenshot im Anhang. Feldreihenfolge und vor allem GEO-IP Infos fehlen. Ich habe auch die aktuelle Version nochmals herunter geladen und die Datei "admin/whois_online.php" verglichen. Es gibt keinen Unterschied.
Wir benutzen die aktuelle Version 1.06-r4642.

Jetzt die Frage: Woher habe ihr die Version der "admin/whois_online.php" die auch GEO-IP Infos anzeigt?

Viele Grüße
Rene

Hallo,

ich möchte meine Frage nur einmal puschen.

Viele Grüße
Rene
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 24. Dezember 2013, 12:12:23
Moin,

da ich es schon vor Jahren eingebaut habe, kann ich mich nicht mehr genau daran erinnern, wo ich es her habe. Vermutlich war es jedoch ursprünglich eine Anpassung für den OSCommerce-Shop, die mehr oder weniger mit dem XTC kompatibel ist:

https://www.google.de/#q=oscommerce+wer+ist+online+geo+ip (https://www.google.de/#q=oscommerce+wer+ist+online+geo+ip)

Aktuelle GEOip-Dateien gibt's hier:
http://dev.maxmind.com/geoip/legacy/geolite/ (http://dev.maxmind.com/geoip/legacy/geolite/)
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Archetim am 24. Dezember 2013, 14:29:37
Hallo 0815,

danke für deine rasche Antwort. Ich war nur verwirrt, da es im aktuellen Trunk nicht includiert war. Ich dachte , dieser wäre die Basis für die Diskussion.

Dank deinem Tipp, habe ich alles gefunden, um das auch einzubauen. Ist zwar nur eine Spielerei, aber dennoch. Manche spedieren ihrem Auto Alu-Felgen, ich eben das dem Shop.

Wünsche allen noch ein frohes Fest.
Grüße
Rene
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: 0815 am 24. Dezember 2013, 14:41:31
 Ist zwar nur eine Spielerei, aber dennoch.

Spielerei?
Wir reden hier vom mit Abstand besten Gimmick, was der Shop zu bieten hat.
Für mich ist das stellenweise besser als TV und es ist die einzige Website, die bei mir rund um die Uhr im Browser geöffnet ist.

Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Archetim am 25. Dezember 2013, 07:23:39
Hallo 0815,

nicht in den falschen Hals bekommen bitte. Warum glaubst Du , will ich da mehr Infos bekommen? Man möchte ja seinen "TV-Sender" in bester Qualität und mit allen möglichen Gimmicks geniesen. :ironie:

Grüße
Rene
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: smothy am 30. Dezember 2013, 14:14:00
Hallo Gemeinde,

Ist dieser Patch ausreichend - welcher auf der 1. Seite hier ( 1. Post ) gezeigt wurde...
security_fix_2013_12_11.zip

weil zwischdrin noch von einer anderen - ähnlichen Datei die Rede ist - ebenso auf der Seite von
http://www.gambio.de/security-patch-dez2013-div.html (http://www.gambio.de/security-patch-dez2013-div.html)

die heisst nämlich "nur" whois_online.php und liegt im admin ordner

und die von oben "security_fix" heisst update_whois....... und liegt im "inc" ordner

ist das nun das gleiche bzw wird dort die selbe Lücke geschlossen ?

Danke
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: web28 am 30. Dezember 2013, 14:40:41
Die Datei hier aus Post1 reicht aus.
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: smothy am 30. Dezember 2013, 14:47:47
Ok, danke dir web28

wollte nur sicher gehen -weil gambio schreibt, komplettes Backup vorher erstellen bzw. sichern usw.
und bei dieser Anleitung stand eben nichts dabei.
einfach nur ersetzen. Was natürlich eine super Arbeit von euch ist/war.

Danke dafür
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: glorope am 03. Januar 2014, 12:08:25
Danke an alle und erfolgreiches Shoppen in Zwanzig14
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Marilesis am 16. Januar 2014, 19:45:59
Hallo,

nun, ich habe leider etwas zu spät reagiert (Patch ist eingespielt, habe Version 1,05) und meine ganzen Seitenaufrufe wurden über eine französische Hotelseite umgeleitet (laparadisiere dot com), was jedes Mal 15 sec dauerte.
Es sind jede Menge Javascript-Seiten betroffen und, nachdem ich mir meine Webseite auf den Rechner holte, schlug mein Scanner an - Trojan.JS.Blacole.Gen.
Frage: was kann ich tun, um das Ganze zu bereinigen (ich bin nicht der Fitteste am Rechner)?
Genügt es, die entsprechenden Zeilen am Ende der .js Dateien zu entfernen?
Was könnte der Hintergrund der Aktion sein, ich denke mal, das hat mit dem Hotel ja wenig zu tun, aber was soll das ?
Bitte dringend um Hilfe!!!
LG Manfred
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: hbauer am 16. Januar 2014, 21:29:22
Hallo Manfred

schau mal hier https://www.modified-shop.org/wiki/FAQ:_Hilfe,_ich_glaube_mein_Shop_wurde_gehackt

Gruß
Hagen
Titel: Re: Sicherheitspatch für alle Shopversionen (security_fix_2013_12_11.zip)
Beitrag von: Matt am 16. Januar 2014, 21:29:38
Deine Infektion hat mit der hier gefixten Sicherheitslücke nichts zu tun.

Rechner säubern, alle FTP-Passwörter von einem 100% sauberen Rechner neu einrichten, nicht kompromitiertes Backup in den Shop einspielen.