Login auf www.rc5-team.de

[fragm]

Hallo zusammen,

lange ists her... Bei einem Bierchen haben MaxPain und ich neulich über die guten, alten Zeiten philosophiert. Und wie das mit der Neugier so ist, habe ich den Clienten nach über 5 Jahren mal wieder installiert und getestet, ob das Ganze überhaupt noch funktioniert.

Läuft, würde ich sagen. Bis auf den Login unter www.rc5-team.de. Die gesamte Seite bzw. Navigation scheint nicht mehr zu funktionieren. Entsprechend kann ich auch keine neuen Aliase anlegen.

Kann sich das mal jemand ansehen?

Schöne Grüße aus Braunschweig

[Framige]

Hallo fragm,
das Problem ist bekannt. Das Kernproblem ist eine Funktion die vorhandene Variablen global zu Verfügung stellt.
Diese Funktion beinhaltet aber zu viele Sicherheitslücken und wurde in PHP ab Version 5.4 deaktiviert bzw. nicht mehr unterstützt.
Ich glaube es var diese "register_globals". Und da fehlt es bei mir an Programmierkenntnis um das umzuschreiben.
Wenn das jemand von euch kann stelle ich gerne die Sourcen zur Verfügung.
Michael

[Nils]

Bin absolut kein PHP-Profi, aber kann mir das am Wochenende mal ansehen - Email hast Du ja. PHP läuft nur im safe mode?

[Nils]

Falls noch jemand anders das Problem hat: der Trick ist statt einem globalen Import aller URL-, POST- und Cookie-Variablen - äußerst gefährlich bei nicht 100%ig sauberer Variableninitialisierung da beliebig manipulierbar

Code: Alles auswählen

import_request_variables('gpc'); //wurde nicht ohne Grund abgeschafft

die benötigten Variablen einzeln zu importieren. Gleichzeitig sollte man unerwünschte Zeichen soweit ausfiltern wie möglich, damit nicht unsicherer Code in einem eval() oder gar exec() landet, also z.B.:

Code: Alles auswählen

$var1 = filter_var($_GET['var1'], FILTER_SANITIZE_STRING);
$var2 = filter_var($_GET['var2'], FILTER_SANITIZE_STRING);

[Framige]

Hallo Freunde,
dank der Hilfe von Nils läuft unser rc5-team.de nun wieder korrekt.
Vielen Dank dafür an Nils.
Framige

[Nils]

Kein Thema - allerdings funktioniert das Login noch nicht, offenbar fehlen noch ein paar Variablen; /login/login.php hattest du nicht mitgeschickt.
Die Variablen kommen aus dem Formular, müssten also wohl mit $_POST['...'] importiert werden; loginName & loginPass müssten wahrscheinlich reichen.

[Framige]

Hi Nils,
eider gibt es bei mir auch keinen Ordner login oder ein login.php.
Da muss ich erst einmal schauen wo diese Datei liegt.
Bin aber dran...

[Nils]

Ich sehe gerade: das liegt auf http://stats.rc5-team.de/login/login.php

Auf der Subdomain funzt auch die Navigationsvariable - ist das noch ein altes PHP?

[tyco]

Leider funzt das Login immer noch nicht sowie das Registrieren neuer User.

http://stats.rc5-team.de/login/register.php

Somit ist auch der Beitritt zu einem Subteam derzeit nicht möglich. Kennt sich da jemand mit aus? Vielleicht kann Gudi sich auch mal um das Problem kümmern?

[Nils]

Das ist ziemlich sicher dasselbe Problem - ich guck's mir gern an wenn Framige den Code rüberschickt.

[Framige]

Das Problem ist leider nicht trivial. Wir brauchen jemanden der so richtig gut PHP und Java kann.
Gudi hat bei der Programmierung damals sogenannte "unsichere" Variablen benutzt.
Diese werden seit dem letzten Update vom Apache/PHP nicht mehr unterstützt.
Das Problem zieht sich durch nahezu alle Scripte die eingesetzt werden.
Das ist also eine Aufgabe für einen Experten.
Nils, wenn du dir so etwas zutraust kann ich einmal versuchen alle Scripte herunterzuladen
und dir zuzuschicken.
Framige

[Nils]

Angucken kann ich's auf jeden Fall. Wenn das so wie der andere Code geschrieben ist, muss man sowieso erst einmal das import_request_variables('gpc'); ersetzen.

[Framige]

OK Nils, dann werde ich mal schauen wann ich in dieser Woche Zeit habe.
Den Rest klären wir dann per PM.
Framige

[Framige]

Nils, ich habe dir zwei Mails geschickt.

[tyco]

Kann es sein, dass auch die Registrierung hier im Forum Probleme macht?

Code: Alles auswählen

Moin tyco,

komische Sache das... Ich wollte mich in Ermangelung meiner alten Zugangsdaten im GHN Forum neu registrieren, habe es aber bis heute nicht geschafft an den Aktivierungslink zu kommen.

http://www.hardwareluxx.de/community/f77/rc5-72-new-thread-424118-17.html#post24344998

[Framige]

Anscheinend wird tatsächlich kein Aktivierungslink mehr gesendet.
Ich hatte vor ein paar Wochen ein Problem mit der Emailadresse die das System hier zum versenden nutzt.
Der Account wurde von 1 und 1 seinerzeit gesperrt da er wohl (lt. deren automatischer Überwachung) mißbräuchlich genutzt wurde.
Ich habe den Account dann wieder freigeschaltet und das PW geändert.
Das neue PW muss ich natürlich auch hier im Board eintragen.
Jetzt geht die Anmeldung wieder, ein Aktivierungslink wird nun wieder versendet.
Danke für den Hinweis.
Framige

[Framige]

Sollte jemand seine Zugangsdaten vergessen haben kann er sich an mich wenden.
Ich kann anhand von Emailadresse oder ähnlichem den Usernamen emitteltn.
Anschließend kann man sich ein neues Passwort zuschicken lassen.
Framige

[Framige]

Ich habe mal wieder die automatische Registrierung und Freischaltung hier im Forum deaktiviert.
Alle neuen User müssen durch einen Administrator manuell freigeschaltet werden.
Es hat in letzter Zeit mal wieder viele Anmeldungen gegeben die dann nur irgendwelche
Pillen und Filmlinks angeboten haben.
Und Filmlinks kann ich nun wirklich nicht dulden da ich dafür letztendlich auch persönlich
dafür haftbar gemacht werden kann.
Framige

[Framige]

Hallo Leute,
da sich niemand in der Lage sieht die Scripte auf einen aktuellen PHP-Stand > 5.1 zu bringen habe ich mich gezwungen gesehen die Seiten "www.rc5-team.de" und "stats.rc5-team.de" zu deaktivieren.
www.rc5-team.de zeigt jetzt auf unser Forum, stats.rc5-team.de geht ins leere.
Ich sah mich dazu gezwungen da hier Zugangsnamen und Passworte drin waren die ungeschützt mit zu alten Scripts bearbeitet werden konnten. Mathias von tron-delta.org hat mich darauf hingewiesen.
Es tut mir zwar auch leid aber die Tatsache, das auf dieser Seite mittlerweile jeder Script-Kiddi die PW auslesen kann, liess mir keine andere Wahl.

Was den HWE-Proxy und die Internetpräsenz bzw. die Statistiken vom HWE-Proxy angehen sieht es wohl ähnlich aus.
Auch hier findet sich niemand der dafür einen V-Root zur Verfügung stellt und den HWE-Proxy weiter am Leben erhält.
Ich werde versuchen die beiden Adressen für die Proxys auf eine laufen zu lassen.
Den HWE-V-Root werde ich aber aufgeben und das Forum, den Teamproxy und die GHN-Stats auf dem zweiten V-Root zusammen zu führen.

Das war es erst einmal mit den nicht so berauschenden Nachrichten.
Gruß
Michael

[tyco]

Hallo Leute,
da sich niemand in der Lage sieht die Scripte auf einen aktuellen PHP-Stand > 5.1 zu bringen habe ich mich gezwungen gesehen die Seiten "www.rc5-team.de" und "stats.rc5-team.de" zu deaktivieren.

Daher weht der Wind. Habe mir schon sowas ähnliches gedacht, da die Stats nicht mehr erreichbar sind.

Schade!

[Framige]

Ja leider. TRON hat mich darauf aufmerksam gemacht das auf der Seite die Zugangsdaten unverschlüsselt abgelegt werden. Und das darf in der heutigen Zeit natürlich nicht mehr sein. Das war dann das Tröpfchen was das Faß quasi zum überlaufen gebracht hat.
Mir blieb keine andere Wahl als die Seite abzuschalten.
Sorry...