Online Shop „xtc:Modified“ (Beta) 1.02 mit SSEQ-LIB [UPDATE]
Heute ist der Open Source Onlineshop xtc:Modified (Beta) 1.02 vom xtc:Modified-Team zum Download frei gegeben worden. xtc:Modified ist ein Fork der letzten als Open Source verfügbaren Version von xt:Commerce. Hauptbestandteil der neuen Version ist die 
Bild: xtcmodified.orgPHP Sicherheitsbibliothek SSEQ-LIB. Für die Integration im xtc:Modified-Onlineshop wurde sie erweitert und verbessert und in der neuen Version 0.6.2 dem xtc:Modified-Team als Security Pack zur Verfügung gestellt.
Die erfolgreiche Zusammenarbeit bedeutet für die Nutzer von xtc:Modified einen beträchtlichen Sprung nach Vorne für die Sicherheit ihrer Onlineshops. Im Unterschied zu anderen Open Source und Closed Source Shopsystemen, schützt xtc:Modified mit der Version 1.02 die Kunden des Onlineshops vor Schäden, die entstehen können durch:
- Cross-Site-Scripting
- Session-Hijack
- Session-Fixation
- Cross-Site-Request-Forgery
- Recommendation Poisoning, Shopping Cart Poisoning
Der eingebaute Variablenfilter (aka: Web Application Firewall) sorgt für Sicherheit, auch wenn unbekannte Schwachstellen angegriffen werden.
UPDATE 16.07.09
Auf Grund einiger gemeldeter Funktionsunregelmäßigkeiten (die sich allerdings nicht immer eindeutig auf SSEQ-LIB beziehen ließen) hat das xtc:Modified Team entschieden, die Version des Shops mit SSEQ-LIB als Beta heraus zu geben. So soll mehr Zeit für Tests und Anpassungen gewonnen werden.
Ich bedanke mich bei den unermüdlichen Security Auditor, der – in den nun wieder „ungeschützten“ xtc:Modified Demoshop – prompt etwas fand und mir darüber berichtete. Nein, im Demoshop ist zur Zeit die SSEQ-LIB nicht integriert.
Hallo, habe durch einige Rechereche diese Seite ausfindig gemacht. Zur Einbindung von SSEQ würde mich inzteressieren, ob man dies auch zentral in der php.ini per Script realiseren kann ? hier bietet sich „auto_prepend_file“ an.
Gibt es da schon eine Lösung ? sonst müsste jede relevante php von Hand angepasst werden.
BG
kwiekids
Falls ein Shopsystem verwendet wird lässt sich SSEQ-LIB über eine zentral verwendete Datei einbinden. So z.B. bei osCommerce, xt:Commerce oder eben xtc:Modified. Die Einbindung über „auto_prepend_file“ ist nicht getestet worden, sollte aber ohne Weiteres funktionieren. Ich werde bald ein Test dazu fahren und berichten.
In diesem Fall ist es xtc. Mir ist scheint zentrale Lösung als die sinnvollere, da viele Shopbetreiber sich teilw. gar nicht im Klaren sind, welche Zusatzmodule (die ebenfalls eine Security-Lücke darstellen) im Einsatz haben. Würde die SSEQ-Lösung zentral via php.ini einzubinden, wäre SSEQ wohl die erste, die durchgängig für xtc und Konsorten funktionieren würde – ohnne viel Aufwand. Kurzes Feedback per Mail und ich teste gerne die zentrale Lösung :-)
nice day
kwiekids