Nachdem ich ständig an meinen Designs bastele und im Grunde nie wirklich weiß was ich möchte, habe ich mich jetzt dazu entschieden mal ein paar zu probieren, die jemand anders gemacht hat. Die Leute haben sicher eine Menge arbeit dareingesteckt. Ich werde sich auch wieder ein eigenes machen, nun aber erstmal ein paar Ideen holen.
Bis neulich.
j-zero
Mahlzeit.
“Apps”, dieses Wort scheint das gute, alte und beliebte Wort “Anwendungen” zu ersetzen. Überall wo man hinhört gibt es nur noch “Apps”, ob auf dem iPhone, auf Android, Windows Mobile betriebenen Telefonen oder sogar auf dem Computer zu Hause oder im Büro.
Nun ist dieser Hype nicht der erste. Nach den “Applets”, also kleinen Java-Programmen die in Webbrowsern eingebette sind (oder heutzutage eher waren), folgten z.B. “Gadgets” in Windows Vista oder “Widgets” in Mac OS X und “Desklets” unter Gnome.
Nun sind “Apps” aber nicht mit diesen zu vergleichen, da “Applets”, “Gadgets”, “Widgets” und “Desklets” zwar auch Anwendungen sind, diese aber eine Art “kleiner Anwendung” in einer anderen “großen Anwendung” sind. Wie z.B. ein Notizzettel, den man sich auf die Arbeitsfläche pinnt.
Dennoch scheint es als würden von den Werbemachern für jede Funktionalität die ein Gerät kann, auch wenn dies früher schon auf anderen Geräten ging, einen neuen Namen zu erfinden. Es hat den Anschein, dass diese Tatsache auch stark dazu beiträgt, die sinnlosesten Programme der Welt zu schreiben und Sie für Geld zu verkaufen oder auch zu verschenken.
Beispiele für das iPhone gibt es z.B. mehr als genug:
Wer zur Hölle braucht sowas?
Mahlzeit,
ich blogge gerade mal mittel moBlog von meinem Handy. Bin mal gespannt ob das fuktioniert.
EDIT: Scheint zu funktionieren, auch wenn die Anwendung vermutlich für QVGA erstellt wurde und mir auf meinem WVGA Display einiges an Augenkrebs vermacht. Mal sehen, ob sich da mittels XML-RPC nicht noch was hüsches machen lässt. Aber dafür habe ich im Moment zu wenig Zeit.
Mahlzeit.
Nach dem ich ja schon länger nichts gepostet habe wollte ich mal wieder ein aktuelles mit einem alten Thema verbinden.
Was fällt uns denn im Moment zum Thema “Injektionen” ein? Richtig! Schweinegrippe!
Was viel dem ein oder anderen (vermutlich nur Nerds) früher bei “Injektionen” ein? Wieder richtig! SQL.
Nun ich bin in den letzten zwei Tagen nicht nur auf das erstere sondern auch auf das zweite gestoßen und das nicht auf einer ewig alten, nicht mehr gepflegten Webseite, sondern auf einer die noch irgendwie in der Entwicklungsphase ist aber schon produktiv mit sensiblen Daten arbeitet.
Die SQL-Injections waren nicht das einzige Problem, aber vermutlich das welches am häufigsten auch bei anderen Projekten möglich ist.
Ich möchte an dieser Stelle mal (für alle die, die mal was davon gehört haben, aber nicht wissen um was es sich handelt) erläutern, was bei SQL-Injections das Problem ist.
ACHTUNG: Der nachfolgende Text ist für rein edukative Zwecke gedacht und ich übernehme keinerlei Haftung für dadurch entstandenen Schaden!
Stellt euch vor, ihr habt eine tolle Seite in PHP gebastelt auf der ihr für die Familie die Grönland-Urlaubsbilder zur Verfügung stellen wollt oder die vom Jahr davor im Dschungel von Guatemala. Ihr habt sogar eine kleine Datenbank in der jedes Album eine Nummer hat. Grönland hat die Nummer 2009 und der Dschungel hat 2008 oder 1 und 2. Wie auch immer.
Nun rufen eure Verwandten diese Bilder mittels: “http://www.example.com/meinalbum.php?album=2008″ ab. Schön und gut.
Ihr habt also eine SQL-Abfrage in dem PHP die in etwa so lautet:
1 |
Na, wer findet das Problem?
Richtig! Es fehlen die Anführungszeichen im SQL-Query. Nun kommen wieder einige Scriptkiddies und meinen: Die brauchen wir nicht, geht ja auch so!
Damn! Ihr habt mal wieder recht! Für alle die wissen wollen was noch geht, lest einfach weiter.
Viele werden es schon vermuten: SQL-Injections.
Nun wie tun wir das? Erstmal testen, ob’s klappt: Erstmal schauen wir ob wir einen Fehler erzeugen können in dem wir ein ‘ hinter die 2008 hängen. Bekommen wir dann das:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right foo bar...
Sind wir schon mal einen Schritt weiter. Das bedeutet in den meisten Fällen, die Seite ist verwundbar.
Nun wollen wir herausfinden wie viele Spalten denn wohl diese “alben”-Tabelle hat, das kann man einfach per “ORDER BY” machen:
meinalbum.php?album=2008 ORDER BY 1/*
meinalbum.php?album=2008 ORDER BY 2/*
meinalbum.php?album=2008 ORDER BY 3/*
meinalbum.php?album=2008 ORDER BY 4/*
meinalbum.php?album=2008 ORDER BY 5/* <-- hier gibts einen Fehler ("Unknown column 5 in ...")
Da wir nicht nach Spaltennamen sondern deren Index sortieren muss es 4 Spalten geben, wenn bei 5 keine kommt.
Fein, aber wie bringt uns das Weiter? Hmm… UNION!
UNION in SQL ist sowas wie ein “DOWNER JOIN” man kann also zwei SELECT-Ergebnisse untereinander hängen.
Wir benutzen also
meinalbum.php?album=2008 UNION ALL SELECT 1,2,3,4/*
und schon haben wir alle Einträge der Tabelle.
Oder:
meinalbum.php?album=2008 UNION ALL SELECT 1,2,3,4 FROM mysql.user/*
Und schon haben wir im Grunde Zugriff auf die gesamte Datenbank.
Wie schafft man sich als Programmierer Abhilfe?
Falls noch Fragen oder Kritiken oder Anregungen da sind. Bitte Mail oder Kommentar.
Bis neulich.
j-zero
Mahlzeit,
das nenne ich mal Wahlwerbung!
CDU-Plakat zerstört Internet-/Festnetzanbindung
SPD hängt alte Schröder-Plakate auf
