[PHP] Server per Skript hacken?

[DS_BoneDaddy]

Hallo Leute!

Ich war ein wenig verwundert heute morgen, als mein Host mir einfach so den Server abstellte und meinte, dass meine Skripte fehlerhaft programmiert wären und so der Server und die Daten von außen hackbar wären. Dies würde das gesamte System meines Hosts gefährden und deswegen sei der Server vom Netz genommen worden.
Ich wurde weiter in die Technik geleitet, die mir dann sagen sollten, was mit den Skripten denn nun falsch sei. Derzeit ist dort Mittagspause.

Es ist mir noch nie zu Ohren gekommen, dass man durch einen Skriptfehler zugriff auf einen ganzen Server bekommt. Die selben Seiten hatte ich vorher über 1 Jahr bei Domain-Factory laufen und die haben nie etwas in dieser Richtung gemeldet.

Meine Frage:
Ist da nun was dran oder will mich mein Host abzocken? Hat PHP wirklich derartige Bugs, dass man zugriff auf einen ganzen Server und von dort auf ein ganzes Netzwerk hat?
Leider habe ich momentan nicht mehr fakten, sobald ich mehr erfahre, werde ich das hier posten.


mfg
Roman

[Shaft99]

Das kann schon sein.
PHP ist sehr "mächtig" und kann bei unsachgemäßer Handhabung solche Sicherheitslücken öffnen.
Wenn du z.B. dateien per URL angibst (http://www.beispiel.de/index.php?datei=test)
kann man eventuell per ...index.php?datei=../../hierirgendwas Zugriff auf andere Dateien
erhalten, die eigentlich gar nicht dafür vorgesehen sind.
Falls dir Peter Huth was sagt kannst dich ja an seine "Panne" erinnern, er hatte genau dieses Problem *lol*
Aber auch per gefälschten POST/GET-Methoden könnte sowas passieren.
Bevor du aber keine näheren Infos hast, ist das alles nur Spekulation.
Kannst ja mal bei Gelegenheit die fehlerhaften Skripte auszugsweise posten.

Shaft99

[DS_BoneDaddy]

genau so öffne ich die verschiedenen seiten. da hab ich ja schonmal einen anhaltspunkt. habe bereits ein wenig nachgeforscht in meinen skripten und den fehler beseitigt. bin mal gespannt, wann sich einer von der technik bei mir meldet.

[Orkomike]

Es ist ja kein PHP Problem - sondern eher ein Programmierfehler, aber wird das nicht von neueren PHP Versionen abgefangen? *noahnung*

Früher konnte man sich beliebig durch die Verzeichnisse bewegen [ klick4pdf (http://www.ichstudiere.info/reiher/cms/upload/ausarbeitungen/Angriff_auf_einen_Webserver.pdf) ], was aber mit einer einfachen Sicherheitseinstellung seitens des Providers verhindert werden kann.

[Shaft99]

Original geschrieben von Orkomike
Es ist ja kein PHP Problem - sondern eher ein Programmierfehler, aber wird das nicht von neueren PHP Versionen abgefangen? *noahnung*

Genau das wollte ich sagen.
Auf PHP.net (http://de3.php.net/manual/de/security.registerglobals.php) gibts da auch ganz gute man-pages bezüglich der Sicherheit von so Skripten.
Vor allem das hier (http://de3.php.net/manual/de/security.variables.php) solltest du dir mal anschauen.

[Screemer]

hier (http://www.johanneshoppe.de/publikationen/Webserver_Sicherheit_ist_realisierbar/) lässt sich eine gute arbeit zu diesem thema finden. sehr nett wenn man bedenkt dass sie 2 jahre alt ist und von einem damals 17 jährigen verfasst wurde.