ilch Forum » Ilch Clan 1.1 » Allgemein » Zugriff auf Gallery verweigern

Geschlossen
  1. #1
    User Pic
    Rofeln Mitglied
    Registriert seit
    18.01.2010
    Beiträge
    4
    Beitragswertungen
    1 Beitragspunkte
    Moinmoin lächeln
    Habe folgendes Problem:
    Die Gallery auf unserer Seite ist an sich gesperrt, man hat keinen Zugriff auf die Kategorien etc. pp. . Jedoch ist es möglich durch direkten Zugriff auf die Bilder, also so:
    externer Link
    zuzugreifen, obwohl dies nicht so sein sollte.
    Zudem kann man dann auch die Zahlen durchgehen, also für X in
    externer Link
    nach der Reihe Zahlen angeben und so alle Bilder, die sich noch auf dem Webspace befinden durchgeschaut werden können.

    Ich weiß, dass diese Sicherheitslücke bei uns genutzt wird und suche daher dringend eine Lösung, ich weiß nicht genau, wie sich dies am Besten umsetzen lässt (htaccess, PHP-IDs...?).

    Ich hoffe ihr könnt mir helfen zwinker
    Greetz


    verwendete ilchClan Version: 1.1 N
    0 Mitglieder finden den Beitrag gut.
  2. #2
    User Pic
    Rofeln Mitglied
    Registriert seit
    18.01.2010
    Beiträge
    4
    Beitragswertungen
    1 Beitragspunkte
    Meine bevorzugte Idee wäre gewesen die Bild-ID mit dem Dateinamen auszutauschen, eine extra count-Spalte einzurichten für den ID-Ersatz und dann ein PHP-Script zu schreiben, mit dem man so:
    externer Link
    auf die Dateien zugreifen kann.
    Das Script ruft dann aus der count-Spalte die Imagenummer raus und gibt das Bild aus.
    Dabei ist "bilddatei.jpg" der frühere Dateiname, nicht der aktuelle, der ist hier auch im Format img_X.jpg, wobei man den Prefix "img_" ändern müsste, damit man nicht weiterhin den Dateinamen kennt und die Bilder abscannen kann.

    Jedoch ist mir die Umsetzung schleierhaft traurig

    Falls jemand weiß, wie man das umsetzt, oder eine andere Idee hat bitte schnell melden zwinker


    Zuletzt modifiziert von Rofeln am 19.01.2010 - 00:08:52
    0 Mitglieder finden den Beitrag gut.
  3. #3
    User Pic
    Panicsheep Hall Of Fame
    Registriert seit
    24.08.2004
    Beiträge
    10.192
    Beitragswertungen
    16 Beitragspunkte
    Ich weiß zwar jetzt nicht wo da ne Sicherheitslücke ist, aber naja.
    Ich meine da mal was gelesen zu haben das man mit ner .htaccess Datei einstellen kann das man, egal was man aufruft, automatisch wieder zur index.* geleitet wird.
    Aber da dürften die Experten hier mehr zu sagen können.
    Omnia bona erunt
    0 Mitglieder finden den Beitrag gut.
  4. #4
    User Pic
    Rofeln Mitglied
    Registriert seit
    18.01.2010
    Beiträge
    4
    Beitragswertungen
    1 Beitragspunkte
    Habs mal selbst bearbeitet, hab bis jetzt noch keine Fehler bemerkt.

    In der "include\admin\gallery.php" folgender Abschnitt:
    # Bilder in eine Kategorie hochladen
    if ( $menu->get(1) == 'uploadImages' ) {
      $time = time();
      $msg = '';
      if (isset($_POST['hochladen']) AND $_POST['hochladen'] == 'yes') {
        foreach ($_FILES['file']['name'] AS $k => $v) {
          if (!empty($_FILES['file']['name'][$k])) {
            $name = $_FILES['file']['name'][$k];
            $tmp = explode('.',$name);
            $tm1 = count($tmp) -1;
            $endung = $tmp[$tm1];
            unset($tmp[$tm1]);
            $name = implode('',$tmp);
            $besch = escape($_POST['besch'][$k],'string');
            $id = db_result(db_query("SHOW TABLE STATUS FROM `". DBDATE ."` LIKE 'prefix_gallery_imgs'"),0,'Auto_increment');
            $bild_url = 'include/images/gallery/img_'.$time.'.'.$endung;
            if (@move_uploaded_file ($_FILES['file']['tmp_name'][$k], $bild_url)) {
              @chmod($bild_url, 0777);
              db_query("INSERT INTO prefix_gallery_imgs (id,cat,datei_name,endung,besch) VALUES (".$time.",".$menu->get(2).",'".$name."','".$endung."','".$besch."')");
              $msg .= 'Datei '.$name.'.'.$endung.' erfolgreich hochgeladen<br />';
              $bild_thumb = 'include/images/gallery/img_thumb_'.$time.'.'.$endung;
              $bild_norm  = 'include/images/gallery/img_norm_'.$time.'.'.$endung;
              create_thumb ($bild_url, $bild_thumb, $allgAr['gallery_preview_width']);
              @chmod($bild_thumb, 0777);
              create_thumb ($bild_url, $bild_norm , $allgAr['gallery_normal_width']);
              @chmod($bild_norm, 0777);
            } else {
              $msg .= 'Datei '.$name.'.'.$endung.' konnte nicht hochgeladen werden<br />';
            }
          }
        }
      }

    Ersetzt die ID durch einen Timestamp. Finito lächeln

    //€dit:
    Die Spalte "uid" in "ic1_koms" muss von "MEDIUMINT" zu "INT" gemacht werden, sonst können die Kommentare nicht mehr zugewiesen werden zwinker


    Zuletzt modifiziert von Rofeln am 22.01.2010 - 15:10:04
    1 Mitglieder finden den Beitrag gut.
Geschlossen

Zurück zu Allgemein

Optionen: Bei einer Antwort zu diesem Thema eine eMail erhalten