Zugriff auf Gallery verweigern

Gehe zu Seite:

Geschlossen

Mo. 18.01.2010 20:52 Uhr #1

Rofeln Mitglied

Registriert seit
18.01.2010

Beiträge
4

Beitragswertungen

Moinmoin
Habe folgendes Problem:
Die Gallery auf unserer Seite ist an sich gesperrt, man hat keinen Zugriff auf die Kategorien etc. pp. . Jedoch ist es möglich durch direkten Zugriff auf die Bilder, also so:
externer Link
zuzugreifen, obwohl dies nicht so sein sollte.
Zudem kann man dann auch die Zahlen durchgehen, also für X in
externer Link
nach der Reihe Zahlen angeben und so alle Bilder, die sich noch auf dem Webspace befinden durchgeschaut werden können.

Ich weiß, dass diese Sicherheitslücke bei uns genutzt wird und suche daher dringend eine Lösung, ich weiß nicht genau, wie sich dies am Besten umsetzen lässt (htaccess, PHP-IDs...?).

Ich hoffe ihr könnt mir helfen
Greetz

verwendete ilchClan Version: 1.1 N
0 Mitglieder finden den Beitrag gut.
- zitieren
Di. 19.01.2010 00:04 Uhr #2

Rofeln Mitglied

Registriert seit
18.01.2010

Beiträge
4

Beitragswertungen

Meine bevorzugte Idee wäre gewesen die Bild-ID mit dem Dateinamen auszutauschen, eine extra count-Spalte einzurichten für den ID-Ersatz und dann ein PHP-Script zu schreiben, mit dem man so:
externer Link
auf die Dateien zugreifen kann.
Das Script ruft dann aus der count-Spalte die Imagenummer raus und gibt das Bild aus.
Dabei ist "bilddatei.jpg" der frühere Dateiname, nicht der aktuelle, der ist hier auch im Format img_X.jpg, wobei man den Prefix "img_" ändern müsste, damit man nicht weiterhin den Dateinamen kennt und die Bilder abscannen kann.

Jedoch ist mir die Umsetzung schleierhaft

Falls jemand weiß, wie man das umsetzt, oder eine andere Idee hat bitte schnell melden

Zuletzt modifiziert von Rofeln am 19.01.2010 - 00:08:52
0 Mitglieder finden den Beitrag gut.
- zitieren
Di. 19.01.2010 16:07 Uhr #3

Panicsheep Hall Of Fame

Registriert seit
24.08.2004

Beiträge
10.192

Beitragswertungen

Ich weiß zwar jetzt nicht wo da ne Sicherheitslücke ist, aber naja.
Ich meine da mal was gelesen zu haben das man mit ner .htaccess Datei einstellen kann das man, egal was man aufruft, automatisch wieder zur index.* geleitet wird.
Aber da dürften die Experten hier mehr zu sagen können.

Omnia bona erunt
0 Mitglieder finden den Beitrag gut.
- zitieren

Di. 19.01.2010 18:12 Uhr #4

Rofeln Mitglied

Habs mal selbst bearbeitet, hab bis jetzt noch keine Fehler bemerkt.

In der "include\admin\gallery.php" folgender Abschnitt:

# Bilder in eine Kategorie hochladen
if ( $menu->get(1) == 'uploadImages' ) {
  $time = time();
  $msg = '';
  if (isset($_POST['hochladen']) AND $_POST['hochladen'] == 'yes') {
    foreach ($_FILES['file']['name'] AS $k => $v) {
      if (!empty($_FILES['file']['name'][$k])) {
        $name = $_FILES['file']['name'][$k];
        $tmp = explode('.',$name);
        $tm1 = count($tmp) -1;
        $endung = $tmp[$tm1];
        unset($tmp[$tm1]);
        $name = implode('',$tmp);
        $besch = escape($_POST['besch'][$k],'string');
        $id = db_result(db_query("SHOW TABLE STATUS FROM `". DBDATE ."` LIKE 'prefix_gallery_imgs'"),0,'Auto_increment');
        $bild_url = 'include/images/gallery/img_'.$time.'.'.$endung;
        if (@move_uploaded_file ($_FILES['file']['tmp_name'][$k], $bild_url)) {
          @chmod($bild_url, 0777);
          db_query("INSERT INTO prefix_gallery_imgs (id,cat,datei_name,endung,besch) VALUES (".$time.",".$menu->get(2).",'".$name."','".$endung."','".$besch."')");
          $msg .= 'Datei '.$name.'.'.$endung.' erfolgreich hochgeladen<br />';
          $bild_thumb = 'include/images/gallery/img_thumb_'.$time.'.'.$endung;
          $bild_norm  = 'include/images/gallery/img_norm_'.$time.'.'.$endung;
          create_thumb ($bild_url, $bild_thumb, $allgAr['gallery_preview_width']);
          @chmod($bild_thumb, 0777);
          create_thumb ($bild_url, $bild_norm , $allgAr['gallery_normal_width']);
          @chmod($bild_norm, 0777);
        } else {
          $msg .= 'Datei '.$name.'.'.$endung.' konnte nicht hochgeladen werden<br />';
        }
      }
    }
  }

Ersetzt die ID durch einen Timestamp. Finito lächeln

//€dit:
Die Spalte "uid" in "ic1_koms" muss von "MEDIUMINT" zu "INT" gemacht werden, sonst können die Kommentare nicht mehr zugewiesen werden zwinker

Zuletzt modifiziert von Rofeln am 22.01.2010 - 15:10:04

1 Mitglieder finden den Beitrag gut.

zitieren

Geschlossen

	Zurück zu Allgemein

Beitrag zur Merkliste hinzufügen

ilch Forum » Ilch Clan 1.1 » Allgemein » Zugriff auf Gallery verweigern