Hackerangriffe auf TNG

[Hina]

Wer für seine Genealogie TNG auf einem Webserver einsetzt, ist gut beraten, diese Ratschläge von Thomas Greve unbedingt zu beherzigen, da es einige Sicherheitslücken gibt. Also nach der Installation die aufgeführten Dateien löschen und falls noch mit 6.1 gearbeitet wird, ein Update auf 6.2 oder höher machen und das Installationsverzeichnis nicht gerade TNG nennen.

Ich habe das leider erst zu spät gelesen, hatte einen unschönen Hackerangriff. Ein PHP-Script wurde eingepflanzt, das wie verrückt Spamas versendete. Mein Webspacehoster zog zum Glück die "Notbremse". Jetzt habe ich erstmal meinen Webserver dicht gemacht, da ich auch davon ausgehe, dass die Zugangsdaten ausgelesen wurden.

Viele Grüße
Hina

[Ela_75]

Hallo Hina,

mir ging es genauso - ich hab jetzt erstmal ein Update auf die aktuelle Version gemacht und die entsprechenden Skripte (bei mir lag z.B. eine mailer.php im Dokumenten-Ordner) gelöscht. Gut das mein Webhoster mich direkt per Mail informiert hat und von seiner Seite eine .htaccess Datei eingebaut hat, die das Aufrufen externer URLs unterbindet.

Und die empfohlenen Updates auf die du verlinkt hast werde ich dann heute abend durchführen. Danke für die Info - das hatte ich nämlich noch nicht gefunden!

Grüße, Ela

[Stefan Wessel]

Hallo,

wo würde man solch eine mailer.php denn finden ? Heisst die auch so ???

Stefan

[Hina]

Hallo Stefan,
bei mir wurden 9 Einzeldateien mit verschiedenen Namen, meist php und ein ganzes Verzeichnis raufgeladen. Im Grunde hatte bald jedes Unterverzeichnis etwas abbekommen. Eine Datei konnte ich noch nicht mal löschen, weil ich gar nicht mehr an die Rechte rangekommen bin. Erst mit Umbenennen des ganzen Ordners konnte ich das platt machen. Ich habe dann eine "Radikalkur" gemacht und die ganze Datenbank runtergenommen, um sicher zu gehen, dass das Einfallstor dicht und alles wirklich sauber ist. Vor allen besteht nach so einem Hackerangriff immer die Gefahr, dass die Zugangsdaten ausgelesen wurden und man bald wieder Besuch hat, wenn man nicht alles komplett ändert.
Viele Grüße
Hina

[Ela_75]

Hallo,

wo würde man solch eine mailer.php denn finden ? Heisst die auch so ???

Stefan

Kommt auf den Hackerangriff selbst an - ich würde mal das komplette Verzeichnis mit allen Unterordnern durchsuchen nach Dateien die dir "spanisch" vorkommen. Die können auch anders heißen als mailer.php.

Bei mir war es nur so auffällig weil sie im "Documents" Ordner lag wo ansonsten nur .jpg drinne sind - da ist die aufgefallen wie ein bunter Hund.

Grüße, Ela

[Ormus]

Wer für seine Genealogie TNG auf einem Webserver einsetzt, ist gut beraten, diese Ratschläge von Thomas Greve unbedingt zu beherzigen, da es einige Sicherheitslücken gibt. Also nach der Installation die aufgeführten Dateien löschen und falls noch mit 6.1 gearbeitet wird, ein Update auf 6.2 oder höher machen und das Installationsverzeichnis nicht gerade TNG nennen.

Die aktuelle Version ist 7.03, es ist empfehlenswert, bei solchen Onlineanwendungen jedes Update einzuspielen! Ich empfehle, sich auf der mailinglist vom Autor anzumelden, da wird man immer über Updates informiert:

You can also check back on the same page listed above for future updates. If I have any notices pertaining to software updates or other issues, I usually send them out by way of a mailing list. You can subscribe to the list by sending a blank to tngusers-subscribe@lythgoes.net. Likewise, you can unsubscribe by sending a message to tngusers-unsubscribe@lythgoes.net.

Ansonsten kann ich zu TNG nur sagen, dass ich es zwar auch einsetzen werde, aber aus meiner Erfahrung heraus NICHT für eine professionelle Software halte. Bitte nicht falsch verstehen, die Software ist mächtig, aber eben leider nicht übermässig strukturiert -> Löcher für Angriffe entstehen...

[Hina]

TNG selbst benachrichtigt auch regelmäßig über Updates, nur sollte man sie eben nicht wie ich einfach ignorieren. Es ist aber sehr schön, dass Thomas Greve auch ein deutschsprachiges TNG-Forum eingerichtet hat und auch eine TNG-Wiki.

Da TNG eine Webserver-Anwendung ist, ist es natürlich wie alles, was es an Internetanwendungen gibt, anfälliger und natürlich auch viel nützlicher für Hackerangriffe, als Programme, die auf dem heimischen Rechner laufen. Ich würde TNG dennoch nicht als nicht professionell bezeichnen. Mit Hackerangriffen haben alle zu kämpfen, die Anwendungen im Netz laufen lassen, auch Banken und die zahlen verdammt viel Geld für die Programmierung ihrer Sicherungssysteme und werden dennoch immer wieder gehackt. Wichtig ist aber vor allem, dass bei solchen Vorkommnissen schnell reagiert wird und das hat TNG, nur ich leider nicht .

Viele Grüße
Hina

[Ormus]

Ich bin selbst Softwareentwickler und kenne mich auch halbwegs mit php aus. Mir geht es mit professionell eher um die Struktur der Software. Und die ist bei weitem nicht so gut, wie sie sein könnte. Ich glaube die Software hat nicht viele Lücken, aber durch die fehlende Struktur schleichen sich schneller welche ein. Wie gesagt, ich werde auch TNG einsetzen (allerdings verfluche ich es gerade, weil das Erstellen eines eigenen Templates viel leichter sein könnte).

[Hina]

Hallo Ormus,

von der Seite aus gesehen, ist da sicher etwas dran.

Wer sich mit PHP auskennt, ist klar im Vorteil. Ich habe mich da schon sehr schwer getan, das vorgefertigte Template nach meinen eigenen Vorstellungen zu ändern, das fing schon an, dass ich erstmal einen passenden Editor suchen mußte. Aber ein paar neue Seiten dazu basteln und funktionierend zu verlinken, da ist schon bei mir Ende. Es ist eben nicht HTML.

Viele Grüße
Hina

[Stefan Wessel]

Hallo,

ich habe jetzt von meinem Provider folgende Antwort bekommen:

die Anpassung von PHP-Einstellungen können Sie selbst vornehmen. Legen
Sie hierzu eine Datei php.ini in dem Verzeichnis an, in dem sich das
PHP-Skript befindet, für das die geänderten Einstellungen gelten sollen.
Bitte beachten Sie, dass die Einstellungen nicht automatisch auch für
Unterverzeichnisse gelten, bitte legen Sie daher ggf. entsprechende
Kopien der php.ini an.

Die php.ini besteht aus beliebig vielen Einträgen der Form "variable =
wert" in jeweils einer Zeile. Eine einfache php.ini könnte
beispielsweise so aussehen:

register_globals = off
upload_max_filesize = 50M
allow_url_fopen = off


Durch das Anlegen einer eigenen php.ini werden einige
Standardeinstellungen unseres Servers ignoriert. Wenn Sie sichergehen
möchten, dass sich Ihre PHP-Konfiguration nur in dem Punkt
unterscheidet, den Sie ändern möchten, fügen Sie Ihrer php.ini bitte
folgende Einträge hinzu:

memory_limit = 32M
upload_max_filesize = 20M
max_execution_time = 10
browscap = /usr/local/lib/browscap.ini
register_globals = on
error_reporting = (E_ALL & ~E_NOTICE & ~E_WARNING)
url_rewriter.tags =
"a=href,area=href,frame=src,form=fakeentry,fieldse t="

Die aktuell gültigen Einstellungen können Sie überprüfen, indem Sie in
Ihr PHP-Skript den Befehl "phpinfo();" einfügen. Eine selbst angelegte
php.ini ist automatisch für PHP4 und PHP5 gültig.

Haben wir hier php-Experten unter uns ?
In dem Beitrag von Thomas Grebe stand ja, dass es reicht, wenn man register_globals auf off setzt. Was würdet Ihr Experten empfehlen ? Die einfache Version oder die vom Provider ?
Muss ich die php.ini-Datei jetzt in alle Unterordner reinkopieren ?

Danke für Eure Hilfe

Stefan

[Hina]

Hallo Stefan,

leider, wenn ich Experte wäre, würde ich nicht gerade schon wieder daran verzweifeln, dass ich meine neue Version mal wieder nicht auf den Server zu laufen bekomme. Irgendwas mache ich schon falsch, obwohl alles genau beschrieben ist und ich es auch schon einige male gemacht habe .

Eine Antwort auf Deine Frage würde mich auch sehr interessieren, wobei ich wirklich nicht durchsehe, was da überhaupt wirklich passiert, bei den Änderungen. Insofern kann ich den Start mit TNG wirklich nicht als anwenderfreundlich bezeichnen. Wenn alles läuft und gut geschützt ist, dann ist es durchaus super.

Viele Grüße
Hina

[Ormus]

Ok, ich versuch mich an der Antwort:

Die einfache Version reicht. Dann sollte auch die register_globals = off zeile reichen und diese php.ini dann ins Hauptverzeichnis, wird für alle Unterverzeichnisse verwendet. Leicht zu prüfen, indem du bei TNG in der Verwaltung auf Konfiguration gehst und dort Systemüberprüfung machst. Da gibt es einen Link auf Starte PHP-Überprüfung, den einfach anklicken und auf der Seite die register_global option suchen. Damit kannst du das vorher/nachher überprüfen denn diese Datei liegt im admin Unterverzeichnis.

Bei manchen Anbietern (wie z.b. bei 1und1) kann man übrigens auch von standard php 4 auf php 5 umstellen, was auch zu empfehlen ist, da php 4 nicht mehr weiterentwickelt wird.

Dazu eine Datei namens .htaccess im Hauptverzeichnis anlegen und darein folgendes:

AddType x-mapp-php5 .php
AddHandler x-mapp-php5 .php

Bei mehr Fragen einfach mal losplappern, ich versuche zu helfen dann...

[Ormus]

ACHTUNG!!! Gerade läuft eine Hacking Welle über TNG Seiten! Die offene Stelle ist noch unklar, auf der Mailinglist wird mich hochdruck gesucht. Also einfach eure TNG Installationen im Auge behalten - das einzig gute ist, dass es keine schädliche Software ist, sondern nur ein Verunstalten der Startseite.

[Ormus]

Der Autor hat eine Lücke behoben, hier ist die Anleitung dazu:

http://lythgoes.net/pipermail/tngusers_lythgoes.net/2009-February/000164.html