j-zero» j-zero.de

Neues Design

j-zero — Mon, 28 Jun 2010 12:41:19 +0000

Nachdem ich ständig an meinen Designs bastele und im Grunde nie wirklich weiß was ich möchte, habe ich mich jetzt dazu entschieden mal ein paar zu probieren, die jemand anders gemacht hat. Die Leute haben sicher eine Menge arbeit dareingesteckt. Ich werde sich auch wieder ein eigenes machen, nun aber erstmal ein paar Ideen holen.

Bis neulich.

j-zero

We call them “Apps”…

j-zero — Wed, 17 Feb 2010 08:43:21 +0000

Mahlzeit.

“Apps”, dieses Wort scheint das gute, alte und beliebte Wort “Anwendungen” zu ersetzen. Überall wo man hinhört gibt es nur noch “Apps”, ob auf dem iPhone, auf Android, Windows Mobile betriebenen Telefonen oder sogar auf dem Computer zu Hause oder im Büro.

Nun ist dieser Hype nicht der erste. Nach den “Applets”, also kleinen Java-Programmen die in Webbrowsern eingebette sind (oder heutzutage eher waren), folgten z.B. “Gadgets” in Windows Vista oder “Widgets” in Mac OS X und “Desklets” unter Gnome.

Nun sind “Apps” aber nicht mit diesen zu vergleichen, da “Applets”, “Gadgets”, “Widgets” und “Desklets” zwar auch Anwendungen sind, diese aber eine Art “kleiner Anwendung” in einer anderen “großen Anwendung” sind. Wie z.B. ein Notizzettel, den man sich auf die Arbeitsfläche pinnt.

Dennoch scheint es als würden von den Werbemachern für jede Funktionalität die ein Gerät kann, auch wenn dies früher schon auf anderen Geräten ging, einen neuen Namen zu erfinden. Es hat den Anschein, dass diese Tatsache auch stark dazu beiträgt, die sinnlosesten Programme der Welt zu schreiben und Sie für Geld zu verkaufen oder auch zu verschenken.

Beispiele für das iPhone gibt es z.B. mehr als genug:

iBeer – Eine “App” die das Telefon in einvirtuelles Bierglas verwandelt, aus dem man “trinken” kann.
Virtual Zippo – Eine “App” die ein Feuerzeug simuliert.
CoinFlip - Ohne Worte…
MyReef 3D Aquarium – Ein Aquarium auf dem Handy.
etc.

Wer zur Hölle braucht sowas?

moBlog

j-zero — Thu, 11 Feb 2010 12:45:59 +0000

Mahlzeit,

ich blogge gerade mal mittel moBlog von meinem Handy. Bin mal gespannt ob das fuktioniert.

EDIT: Scheint zu funktionieren, auch wenn die Anwendung vermutlich für QVGA erstellt wurde und mir auf meinem WVGA Display einiges an Augenkrebs vermacht. Mal sehen, ob sich da mittels XML-RPC nicht noch was hüsches machen lässt. Aber dafür habe ich im Moment zu wenig Zeit.

Injektionen – die Querygrippe

j-zero — Fri, 23 Oct 2009 05:59:14 +0000

Mahlzeit.

Nach dem ich ja schon länger nichts gepostet habe wollte ich mal wieder ein aktuelles mit einem alten Thema verbinden.
Was fällt uns denn im Moment zum Thema “Injektionen” ein? Richtig! Schweinegrippe!

Was viel dem ein oder anderen (vermutlich nur Nerds) früher bei “Injektionen” ein? Wieder richtig! SQL.

Nun ich bin in den letzten zwei Tagen nicht nur auf das erstere sondern auch auf das zweite gestoßen und das nicht auf einer ewig alten, nicht mehr gepflegten Webseite, sondern auf einer die noch irgendwie in der Entwicklungsphase ist aber schon produktiv mit sensiblen Daten arbeitet.
Die SQL-Injections waren nicht das einzige Problem, aber vermutlich das welches am häufigsten auch bei anderen Projekten möglich ist.

Ich möchte an dieser Stelle mal (für alle die, die mal was davon gehört haben, aber nicht wissen um was es sich handelt) erläutern, was bei SQL-Injections das Problem ist.
ACHTUNG: Der nachfolgende Text ist für rein edukative Zwecke gedacht und ich übernehme keinerlei Haftung für dadurch entstandenen Schaden!
Stellt euch vor, ihr habt eine tolle Seite in PHP gebastelt auf der ihr für die Familie die Grönland-Urlaubsbilder zur Verfügung stellen wollt oder die vom Jahr davor im Dschungel von Guatemala. Ihr habt sogar eine kleine Datenbank in der jedes Album eine Nummer hat. Grönland hat die Nummer 2009 und der Dschungel hat 2008 oder 1 und 2. Wie auch immer.
Nun rufen eure Verwandten diese Bilder mittels: “http://www.example.com/meinalbum.php?album=2008″ ab. Schön und gut.

Ihr habt also eine SQL-Abfrage in dem PHP die in etwa so lautet:

1	$result=mysql_query("SELECT * FROM alben WHERE album = " . $_GET['album'] . " ORDER BY id ASC");

Na, wer findet das Problem?

Richtig! Es fehlen die Anführungszeichen im SQL-Query. Nun kommen wieder einige Scriptkiddies und meinen: Die brauchen wir nicht, geht ja auch so!
Damn! Ihr habt mal wieder recht! Für alle die wissen wollen was noch geht, lest einfach weiter.
Viele werden es schon vermuten: SQL-Injections.
Nun wie tun wir das? Erstmal testen, ob’s klappt: Erstmal schauen wir ob wir einen Fehler erzeugen können in dem wir ein ‘ hinter die 2008 hängen. Bekommen wir dann das:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right foo bar...

Sind wir schon mal einen Schritt weiter. Das bedeutet in den meisten Fällen, die Seite ist verwundbar.
Nun wollen wir herausfinden wie viele Spalten denn wohl diese “alben”-Tabelle hat, das kann man einfach per “ORDER BY” machen:

meinalbum.php?album=2008 ORDER BY 1/*
meinalbum.php?album=2008 ORDER BY 2/*
meinalbum.php?album=2008 ORDER BY 3/*
meinalbum.php?album=2008 ORDER BY 4/*
meinalbum.php?album=2008 ORDER BY 5/* <-- hier gibts einen Fehler ("Unknown column 5 in ...")

Da wir nicht nach Spaltennamen sondern deren Index sortieren muss es 4 Spalten geben, wenn bei 5 keine kommt.

Fein, aber wie bringt uns das Weiter? Hmm… UNION!
UNION in SQL ist sowas wie ein “DOWNER JOIN” man kann also zwei SELECT-Ergebnisse untereinander hängen.

Wir benutzen also

meinalbum.php?album=2008 UNION ALL SELECT 1,2,3,4/*

und schon haben wir alle Einträge der Tabelle.
Oder:

meinalbum.php?album=2008 UNION ALL SELECT 1,2,3,4 FROM mysql.user/*

Und schon haben wir im Grunde Zugriff auf die gesamte Datenbank.

Wie schafft man sich als Programmierer Abhilfe?

Immer Anführungszeichen vor und nach den Werten im Query verwenden! Vor allem vor Werten die direkt vom User geändert werden können!
Werte immer so weit wie möglich auf den Datentyp oder Inhalt testen! (Im Beispiel z.B. mit “is_numeric”)

Falls noch Fragen oder Kritiken oder Anregungen da sind. Bitte Mail oder Kommentar.

Bis neulich.

j-zero

Wer die Wahl hat…

j-zero — Mon, 14 Sep 2009 07:48:42 +0000

Mahlzeit,

das nenne ich mal Wahlwerbung!

Piraten vs. Zensursula

CDU-Plakat zerstört Internet-/Festnetzanbindung

SPD hängt alte Schröder-Plakate auf

Namen und Stoppschilder

j-zero — Wed, 02 Sep 2009 16:01:41 +0000

Mahlzeit,

ich habe vor einiger Zeit unsere gesamte DSL-Infrastruktur inklusive Telefonanlage, etc. auf eine FRITZ!Box Fon WLAN 7270 umgesetzt.
Zu gegebenem Anlass wollte ich nun, da ich Telekom Kunde bin, andere DNS Server in der Fritz!Box eintragen was ~~zu meinem erstauen~~ nicht einfach so geht.

Ich habe dann einfach mal die Einstellungen exportiert und bin bei dabei auf folgenden Einträge gestoßen:st

1 2	overwrite_dns1 = 0.0.0.0; overwrite_dns2 = 0.0.0.0;

“Schön!” dachte ich mir und trug dort voller Elan zwei DNS-Server von dieser Liste ein, wonach es so aussah:

1 2	overwrite_dns1 = 85.214.73.63; overwrite_dns2 = 213.73.91.35;

Zu meiner Verwunderung behauptete das Web-Interface der Fritz!Box beim Importversuch nun aber – ich zitiere wörtlich:

Beim Wiederherstellen der Einstellungen ist ein Fehler aufgetreten.
Die angegebene Datei ist keine gültige Import-Datei.

“Hum?” Warum das nicht? Nach kurzem googlen fand ich das Problem: Die Fritzbox generiert eine Checksum und prüft beim importieren, ob die Datei passt. Ob das nun ein Sicherheitsfeature ist oder einfach nur zur Verhinderung z.B. genau meines Vorhabens gedacht ist, kann ich nicht sagen, aber jeder kann sich ja seinen Teil denken. Verschwörungstheorie und so.

Nun was tun? Bekanntermaßen gibt es für ein solches Problem genau zwei Lösungen.

Checksum neu generieren
Checksumprüfung umgehen

Für die erste Möglichkeit habe ich ein Perl-Skript gefunden, welches die Checksum neu generiert.
Die zweite Möglichkeit hielt ich aber erstmal für besser und hübscher.

Nun gibt es hier aber auch wieder zwei Ansätze. Die erste wäre, man aktiviert Telnet oder wenn man eh eine gemoddete Firmware hat man benutzt SSH um die in /var/flash/ liegende ar7.cfg direkt zu ändern. Danach ist nur ein Neustart erforderlich und die DNS-Server sind eingetragen. Die zweite ist, einfach vor in der exportierten Konfigurations-Datei vor die Zeile “**** CFGFILE:ar7.cfg” ein “NoChecks=yes” zu setzen und die Datei wieder zu importieren. Dies geht auch, wenn man die original Firmware nutzt.
Somit hat man nun wunderbare freie DNS Server.

Dies hilft allerdings nur so lange, wie die ISPs nicht – angewiesen vom BKA oder einer anderen Behörde – die DNS-Anfragen umleiten und/oder sie transparent modifizieren. Was durch eine Softwarelösung der Firma Nominum möglich wäre.
Was nach kurzem Überlegen stark an China erinnert.

Nein wir zensieren nichts im Internet, wir sperren nur das, was dem Staat nicht gefällt!

Abhilfe würde hier aber nur ein Proxy in einem anderen Land bringen. (SOCKS über SSH z.B.)

Ich verachte alles was mit Kindesmissbrauch zu tun hat, aber eine Sperrung von Webseiten, und das nur auf DNS-Basis bringt ja mal überhaupt nichts. Es sollten wohl eher die Hoster solcher Seiten herangezogen werden, was wie der AK-Zensur bewies wohl wesentlich Sinnvoller wäre.

Nun denn, lasst euch nicht von den Politikern ärgern, die wissen schon was sie tun!

Weiter Seiten die sich mit diesem oder anderen interessanten Themen beschäftigen findet ihr in meiner Linkliste.

bis neulich

j-zero

PS: Löschen statt verstecken!

Wolpertinger mit Zwiebeln

j-zero — Fri, 19 Jun 2009 11:22:19 +0000

Mahlzeit,

ich hatte vor mal wieder Tor (The Onion Router) auf meinem Notebook, welches mit Ubuntu 9.04 (Jaunty Jackalope) läuft, zu installieren, als ich feststellen musste, dass diese nicht in den Repositories ist. Nach kurzer Suche habe ich aber Repositories die es haben: http://mirror.noreply.org/pub/tor.

Also einfach Folgendes ausführen:

1
2
3
4
5

sudo echo "deb http://mirror.noreply.org/pub/tor jaunty main" >> /etc/apt/sources.list
sudo echo "deb-src http://mirror.noreply.org/pub/tor jaunty main" >> /etc/apt/sources.list
sudo apt-key adv --recv-keys --keyserver keyserver.ubuntu.com CFF71CB3AFA44BDD
sudo apt-get update
sudo apt-get install tor

Und schon habt ihr Tor wieder installiert. Danach nur noch einen SOCKS5 Proxy auf Port 9050 in den Applikationen einrichten (z.B. mit FoxyProxy für den Firefox) und fertig.

Ihr könnt diesen “Torcheck” machen um zu sehen ob es funktioniert. Wenn nicht, schaut mal in die /var/log/tor/log, warum nicht.

Bis neulich.

j-zero

HTML-Link-Target dynamisch ändern…

j-zero — Thu, 11 Jun 2009 10:03:40 +0000

Mahlzeit,
folgendes Problem ereilt einen des öfteren, wenn man z.B. in WordPress Links in dem HTML Editor manuell einfügt:
Das Link-Target (z.B. “_blank”) muss manuell eingetragen werden, damit beim Klicken auf einen Link die Seite in einem Neuen Fenster geöffnert wird. Es ist aber unschön diesen jedes mal manuell zu setzen, gerade wenn man mehr als einen Link hat.
Man könnte nun in der Tat einfach innerhalb des “”-Tags ein

1	<base target="_blank" />

setzen, dieses würde aber Links die schon ein Target haben nicht ändern, was sehr gut ist, wenn man es nicht will. Wenn aber doch muss man sich anders helfen…
Dazu habe ich folgendes kleines Script gebastelt:

1
2
3
4
5
6
7
8
9
10

Damit wird allen “a”-Tags, die sich in dem div “contentbox” und innerhalb eines divs, welches die Class “post” hat das Target-Attribute “_blank” gegeben.
Unter Umständen müsst ihr noch den Class-Namen ändern oder eben das Target auf das Setzen was ihr möchtet.
Einzubinden ist das Script einfach folgendermaßen:

1
2
3
4
5
6
7
8
9
10

Viel Spaß damit.
j-zero
PS: Sicherlich wäre es eleganter die Links mit den richtigen Targets zu versehen, aber es wäre langweilig.

Nachtrag:
Wie ich gerade eben gesehen habe, ist es nicht XHTML 1.0 Strict-Konform Links mit Targets zu versehen. Daher habe ich das Script deaktiviert.

Ping auf einen TCP-Port

j-zero — Tue, 12 May 2009 13:28:04 +0000

Mahlzeit,

wie von schmidt24 schon angekündigt habe ich das tcpping-Skript ein wenig erweitert, da ich finde, das Timeouts nicht markant genug dargestellt wurden, habe ich diese in rot und erfolgreiche Pings durch ein grünes “ok” markiert.

Zudem ist es nun möglich, anstatt des Ports den Namen aus der /etc/services anzugeben (falls man z.B. mal den Port von IMAPS nicht im Kopf hat).

Beispiel: “tcpping.sh 127.0.0.1 imaps” ist equivalent zu “tcpping.sh l27.0.0.1 993″.
Der Standardport ist auch nun 22, also SSH da dieser ja meist auf Linux/UN*X Maschinen auf ist.
Man kann also einfach “tcpping.sh 127.0.0.1″ nutzen und es wird automatisch auf SSH geprüft.
Die Namens- und Portauflösung sind nur eine nette Spielerei aber für den ein oder anderen Skripter vielleicht ganz nützlich.

Hier ist es:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42

#!/bin/sh

i=0

if [ $# = 1 ]; then PORT=22
else PORT=$2
fi

if [ $# -eq 0 ]; then
echo "Usage: $0 [PORT]"
echo " PORT can be numeric or name from /etc/services"
echo " Default port is 22 (ssh)"
exit 1
fi

if [ $(echo "$1." | grep -E "([0-9]{1,3}\.){4}") ]; then
HOST=$(host -v $1 | grep -1 -m1 -A1 ";; ANSWER SECTION" | awk '{print $5}' | awk NF | sed 's/\.$//')
IP=$1
else
IP=$(host -v $1 | grep -i -m 1 -A1 ";; ANSWER SECTION" | awk '{print $5}' | awk NF | sed 's/\.$//')
HOST=$1
fi

case $PORT in
*[!0-9]* ) PORT=$(cat /etc/services | grep -i -m 1 $PORT | awk '{print $2}' | sed "s/\/tcp//g")
esac

PROTO=$(cat /etc/services | grep -i -m 1 $PORT | awk '{print $1}' | sed "s/\/tcp//g")

while (true) do
TIME=`date +%s%N| cut -c -13`
SCAN=`nmap -P0 -p$PORT $1`
if [ $? != 0 ]; then exit 1; fi
echo $SCAN | grep -q open
if [ $? != 0 ]; then
echo "tcp ping from $HOST ($IP) port $PORT ($PROTO): tcp_seq=$i time=$(($((`date +%s%N| cut -c -13`-$TIME))))ms\t[\033[1;31mtimeout\033[0m]"
else
echo "tcp ping from $HOST ($IP) port $PORT ($PROTO): tcp_seq=$i time=$(($((`date +%s%N| cut -c -13`-$TIME))))ms\t[\033[1;32mok\033[0m]"
fi
sleep 1
i=$((i+1))
done

viel spaß und erfolg damit.

Known Bugs:

Wenn als Host ein Nmap Parameter übergeben wird wie z.B: “–help” ist der Ping “[ok]“, da Nmap die Hilfe ausgibt, “grep -q open” ist in dem Fall Wahr, da auch in der Help ein “open” vorkommt.
Die Domainauflösung zur IP funktioniert zurzeit nicht bei einem Alias, da dann als erstes Ergebnis von “host” der CNAME zurückgeliefert wird.

Wenn jemand eine Idee hat, wie das zu lösen ist (bevor ich eine habe oder das ganze Ding in Perl implementiere) wäre ich dankbar.

bis neulich

j-zero

Perl Twitter

j-zero — Fri, 06 Mar 2009 15:45:52 +0000

Mahlzeit!

Ich bin nun auch unter die Twitterer gegangen, nach dem ich ja den Blogkram auch schon mit gemacht habe. Nach kurzer Zeit habe ich ein Tool gesucht, mit dem ich aus der Kommandozeile unter Linux einen Tweet absetzen kann, habe aber erstmal nix gefunden. Also habe ich mal geschaut, ob es ein Perl Modul gibt. Und ja(!), es gibt eins, und zwar: “Net::Twitter” – wär hätte das gedacht! Ihr könnt das einfach mittels “perl -MCPAN -e “install Net::Twitter” installieren.

Hier ist mein kleines Script, welches aus der Konsole Tweets sendet, viel Spaß damit.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

#!/usr/bin/perl
use Getopt::Std;
use Term::ReadKey;
use Net::Twitter;
getopt('upt',\%opts);
$usage= < commandline twitter 0.1b - www.j-zero.de
Usage: twitter_cmd -u username [-t tweet] [-p password]
USAGE
sub gp{
print "password: ";
ReadMode 2;
chomp($l = ReadLine(0));
ReadMode 0;
print "\n";
return $l;
}
if(!$opts{u}){print $usage;exit 1;}
else{$u=$opts{u};}

if(!$opts{t}){print "tweet: ";chomp($t=);}
else{$t=$opts{t};}

if(!$opts{p}){$p=&gp;}
else{$p=$opts{p};}
$s=Net::Twitter->new({username=>"$u",password=>"$p" });
$s->update({status=>"$t"});
exit 0;

j-zero

Viel Glück roter Panda!

j-zero — Wed, 25 Feb 2009 13:24:08 +0000

Mahlzeit.

Ich war gerade mal wieder auf der Suche nach PuTTY. Ihr kennt das, ihr müsst flink mal von nem Windows Rechner auf ‘ne Linux-Büchse connecten. Was fehlt euch, oder ist irgendwo in den Eigenen Dateien verschollen? PuTTY!

Was tun? Na klar! Firefox auf, in der Suchleiste bei Google “PuTTY” eintippen und das erste Google-Ergebnis ist die Downloadseite. So weit so gut, aber erinnert ihr euch an den Button neben “Google-Suche”, auf dem “Auf gut Glück!” steht? Niemand benutzt ihn, dabei wäre er an der Stelle so praktisch, da er einen direkt zu der ersten gefunden Webseite bringt. Es ist aber viel zu umständlich, wenn man Google nicht als Startseite hat, erst in der Adresszeile “www.google.de” einzutippen, dann den Suchbegriff und dann auf den Button zu klicken. Was fehlt ist also ein Firefox Suchplugin!

Ich bin auf die Suche gegangen hab’ aber auf die Schnelle nichts gefunden. Also selbst dran setzen:

Schritt 1.

Was ist der unterschied zwischen der normalen Google-Suche und dem “Auf gut Glück!”? Die URL! Eine normale Google-Such-URL sieht folgendermaßen aus:

1	http://www.google.de/search?hl=de&q=putty&btnG=Suche&meta=

Eine “Auf gut Glück!” URL so:

1	http://www.google.de/search?hl=de&q=putty&btnI=Auf+gut+Gl%C3%BCck!&meta=

Reduzieren wir diese auf die wichtigsten Teile:

1	http://www.google.de/search?q=putty&btnG=Suche

1	http://www.google.de/search?q=putty&btnI=Auf+gut+Gl%C3%BCck!

Die Namen der Buttons vernachlässigen wir nun auch noch und bekommen:

1	http://www.google.de/search?q=putty&btnG=btn

1	http://www.google.de/search?q=putty&btnI=btn

Wir stellen also fest, dass der einzige Unterschied “btnG” und “btnI” ist.

Schritt 2.

Wir schauen uns das von vorne herein in Firefox integrierte Google-Such-Plugin an, dieses ist im Installationsverzeichnis von Firefox im Unterordner “searchplugins” und heißt “google.xml”.

Wir öffnen diese Datei in einem Editor eurer Wahl (ich empfehle immer wieder Scite oder Vim, aber das Notepad/Kate/gedit sollte auch reichen) und sucht nach diesen Zeilen:

1
2
3
4

Hier werden der Suche nämlich die verschiedenen Parameter zugewiesen. Fügt dort einfach die Zeile

1	<Param name="btnI" value="GoodLuck"/>

hinzu, ändert im oberen teil die Werte “ShortName” und “Description” damit ihr sie später im Firefox unterscheiden könnt und speichert die Datei z.B. als “GoogleGoodLuck.xml” im selben Ordner.

Startet Firefox neu und schaut euch die Suchen an. Eure eigene sollte dort nun aufgelistet sein und wenn ihr diese jetzt auswählt und “putty” sucht, solltet ihr sofort auf die Downloadseite gelangen.

Fertig.

Viel Spaß beim Nachbasteln.

j-zero