Most Things Web

SEO and Web Security since 2006

Session Fixation in osCommerce und xt:Commerce

von ·

Es wird von eine „Session Fixation“-Schwachstelle in den Shopsystemen von osCommerce und xt:Commerce berichtet.

Falls schnell Hilfe benötigt wird, bevor Schaden durch diese Schwachstelle entsteht, empfehle ich das Einbinden der SSEQ-LIB Bibliothek. Dadurch wird die Schwachstelle entschärft bis Abhilfe in Form eines Patches angeboten und eingespielt ist.

SSEQ-LIB auf Server einrichten

  1. SSEQ-LIB: Installation
  2. SSEQ-LIB: Konfiguration

osCommerce schützen

Editiere die Datei „application_top.php“ aus dem Verzeichnis „includes“. Ändere diese wie folgt:
<br />
<?php
/* &#91;...&#93; */

// set the level of error reporting
  error_reporting(E_ALL &#038; ~E_NOTICE);

/* HIER SSEQ-LIB EINFÜGEN */
include_once('sseq-lib/seq_lib.php');

// check if register_globals is enabled.
/* &#91;...&#93; */
?><br />

Mehr ist nicht nötig. Die Änderung bei xt:Commerce sollte ähnlich sein (ich habe hier leider keine Version zum Testen). Jetzt kann keine „Session Fixation“ mehr durchgeführt werden, da SSEQ-LIB automatisch die Session-ID bei jeder Verwendung ändert. Die durch den Angreifer vorgegebene Session-ID ist also gleich nach dem ersten Klick wieder ungültig und gibt ihm keinen Zugang auf die Nutzerdaten.

Themenverwandt:

  1. xt:Commerce/xtc:Modified Security Pack Version (12.6) So here it is, 3 steps to dramatically increase security...
  2. Session-Angriffe – eine Analyse an PHP (6) Den vollständigen 1. Teil des Dokumentes unter Creative Common-Lizenz als...
  3. Endspurt: PHP Sicherheitsbibliothek „SSEQ-LIB 0.5.0“ (5.8) SSEQ_LIB Version 0.5.0 SSEQ-LIB ist eine Sammlung aktueller Funktionen, die...
  4. Online Shop „xtc:Modified“ (Beta) 1.02 mit SSEQ-LIB [UPDATE] (5.8) Heute ist der Open Source Onlineshop xtc:Modified (Beta) 1.02 vom...
  5. Für zwischendurch: hier werkelt QuiBui (#4) (5.7) QuiBui wird bei dem großen Bio-Shop KaRo eingesetzt z.B. bei...

Schlagwörter:

Das könnte dich auch interessieren …

Eine Antwort

  1. andre sagt:
    28. März 2010 um 5:54 Uhr   (Bearbeiten)

    die standardeinstellungen dieses paketes funzten nur mit der standardkonfiguration von osc/xtc d. h. suchmachinienfreundliche urls mit dem „buy_now“- button gehen nur mit einer kleinen modifikation in der /includes/classes/product.php

    ca. ab zeile: 351

    Security- SSEQ- Patch
    [CODE]
    return ‚‚.xtc_image_button(‚button_buy_now.gif‘, TEXT_BUY.$name.TEXT_NOW).‘‚;
    [/CODE]
    ersetzen:

    [CODE]
    return ‚‚.xtc_image_button(‚button_buy_now.gif‘, TEXT_BUY.$name.TEXT_NOW).‘‚;
    [/CODE]

    ist nicht die schönste lösung aber geht ;-)

    gruß
    andré