Ein neues Thema erstellen  Auf das Thema antworten  [ 48 Beiträge ]  Gehe zu Seite Vorherige 1 2 3
Autor Nachricht
 Betreff des Beitrags:
BeitragVerfasst: 20.04.2002, 03:16 
AM.de Team
Benutzeravatar

Registriert: 27.11.2001, 01:00
Beiträge: 3564
Wohnort: In der Nähe von Bonn
ja..ich war selbst erstaunt !!!!!! :-)

Aber die Satzzeichen mit Leerzeichen zu versehen....

Warum ?

_________________
Fehleranalyse: Poste den Inhalt Deiner liblist.gam, (listen)server.cfg, adminmod.cfg, users.ini, vault.ini, plugin.ini von adminmod und plugins.ini von metamod. Benutze auch die Such-Funktion


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 20.04.2002, 03:21 

Registriert: 25.03.2002, 23:02
Beiträge: 131
Wohnort: Berlin
Bins gewohnt alles in einem staz zu schrieben, vor allem bin ich es gewohnt klein zu schreiben. Weil in php (und anderen sprachen) muß der name immer genau gleich sein, da hab ich mir halt in dem kopf gesetzt das ich immer alles klein schreibe. Nur doof das sich das dann auch auf meine normalen text (schrift) ausgewickt hat. :-((( Aber ich versuch es zu verbessern, stimmt schon das ich sau schlecht in deutsch bin, aber immerhin sind meine sätze so langsam verständlich. :-)


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 20.04.2002, 03:33 
AM.de Team
Benutzeravatar

Registriert: 23.11.2001, 00:00
Beiträge: 3842
Wohnort: Vor König Arthus
Mr. Spoocy,
ich würde Dir empfehlen meinen Post nochmal ganz genau durchzulesen.
Es geht hier nicht um den Eigentümer des Servers. Der hat ja Vollzugriff über FTP oder SSH und kann die Rechte in der users.ini nach seinen Wünschen gestalten.
Es geht darum, dass eben kein Plugin-Author ein Hintertürchen basteln kann. Das ist derzeit über die beschriebene Sicherheitslücke durchaus möglich. Und darüber wird es möglich einen Server zu administrieren, der einem gar nicht gehört.
Natürlich bin ich in der Lage auch weiterhin Schadroutinen einzubauen, nur kann dies nicht mehr auch von eigentlich "sauberen" Plugins aus passieren, wo der Programmierer nicht genug über die Rechte nachgedacht hat.
Nochmal zusammengefasst, es geht nicht darum, dass bösartige Software abgewehrt wird; das liegt in der Aufmerksamkeit des Serveradmins; sondern es gilt zu verhindern, dass eigentlich harmlose Plugins durch Programmierfehler zu Sicherheitslöchern mutieren.

BTW, daRope,
es gibt ein Plugin, dass einem online auf dem Server die users.ini bearbeiten lässt. Diesen Code könnte man leicht zweckentfremden und einen automatischen Eintrag in die users.ini machen => Vollzugriff. Wäre es möglich writefile den Zugriff auf die users.ini zu verbieten? Dann geht zwar wieder ein wenig Bequemlichkeit verloren, aber ein großes Stück Sicherheit wird gewonnen. Genau das gleiche gilt für die server.cfg oder die autoexec.cfg und ähnliche essentielle Serverdateien. Wer es editierbar halten will soll zusätzliche Dateien editieren, die aus den System-Dateien aufgerufen werden.

_________________
Der schwarze Ritter triumphiert immer...
WING-Clan


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 20.04.2002, 03:35 
AM.de Team
Benutzeravatar

Registriert: 27.11.2001, 01:00
Beiträge: 3564
Wohnort: In der Nähe von Bonn
du wirst lachen, dass ich noch nichtmal dagegen was habe, wenn alles kleingeschrieben ist.
Ach, auch die Satzzeichen sind mi egal...

Hauptsache, es ist verständlich ausgedrückt. Und da befinden wir uns auf einen gutem Weg.

Demnächst werden wir noch im Lehrer-Forum für Deutsche Sprache erwähnt, dass wir geeignet sind, Usern die Deutsche Sprache in Rechtschreibung und Grammatik näher zu bringen.

Fein.... :-)

_________________
Fehleranalyse: Poste den Inhalt Deiner liblist.gam, (listen)server.cfg, adminmod.cfg, users.ini, vault.ini, plugin.ini von adminmod und plugins.ini von metamod. Benutze auch die Such-Funktion


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 20.04.2002, 03:39 

Registriert: 25.03.2002, 23:02
Beiträge: 131
Wohnort: Berlin
Ich glaub du hast meinen post net ganz gelesen , das oben erwehnte plug in liest die befehle aus der task.cfg, diese jedoch kann NUR geändert werden wenn man ftp zugriff hat. Somit kann keiner von ausen sich adminrechte oder sowas geben da er ja nicht die task.cfg ändern kann.

Zu dem user.ini bearbeiten, ich finde nicht das man es sperren sollte , da jeder user doch selber die wahlt hat ob er das file uploadet, wenn man so ran geht müste mann alle plug ins verbieten, denn jedes plug in ist ein rieseko, wenn man es nicht selber noch mal nachschaut.

Nachtrag:

Hehe , ich wer der erste der euch empfehlen würde :-))))


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 20.04.2002, 17:07 
AM.de Team
Benutzeravatar

Registriert: 23.11.2001, 00:00
Beiträge: 3842
Wohnort: Vor König Arthus
Zitat:
Ich glaub du hast meinen post net ganz gelesen , das oben erwehnte plug in liest die befehle aus der task.cfg, diese jedoch kann NUR geändert werden wenn man ftp zugriff hat. Somit kann keiner von ausen sich adminrechte oder sowas geben da er ja nicht die task.cfg ändern kann.
Fragt sich, wer hier was nicht gelesen hat. Wenn Du die Anleitung zum Taskplaner gelesen hättest, wüsstest Du, dass man die Tasks ohne FTP direkt über das Plugin in die task.cfg schreiben, editieren und löschen kann!
Zitat:
Zu dem user.ini bearbeiten, ich finde nicht das man es sperren sollte , da jeder user doch selber die wahlt hat ob er das file uploadet, wenn man so ran geht müste mann alle plug ins verbieten, denn jedes plug in ist ein rieseko, wenn man es nicht selber noch mal nachschaut.
Wie bereits gesagt, ich brauche kein FTP um das zu verändern.
Und wenn ich mir ansehe, was hier im Forum für Fragen kommen und wieviele Leute sich wirklich den Code ansehen sowie verstehen können, stellt sich die Frage auf jeden Fall.
AdminMod ist kein Bill Gates Produkt. Es geht nicht darum höchstmögliche Bequemlichkeit einzubauen auf Kosten der Sicherheit. Wir reden hier von Serversoftware (24/7). Da hat Sicherheit ansich höchste Priorität. Solange sich eine Handvoll Leute um Plugins bemüht und sie versteht, solange muss ich für den großen Rest eine möglichst narrensichere Umgebung schaffen. Dass dies unserer aus jahrelanger Windowserfahrung gewohnten Bequemlichkeit zuwider läuft ist klar, aber unvermeidlich.
Der große Vorteil aber auch Nachteil von AdminMod gegenüber ClanMod war und ist eben die Erweiterbarkeit. Sobald einmal 1 bösartiges Plugin auftaucht, wird AM in einem schlechten Licht dastehen. Das muss nicht sein, wenn man es im Vorhinein schon verhindern kann.

_________________
Der schwarze Ritter triumphiert immer...
WING-Clan


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 21.04.2002, 19:38 

Registriert: 12.01.2002, 20:24
Beiträge: 227
Wohnort: Giessen, Hessen, Germany
Hugh!
find' ich wirklich gut was du da sagst!!!

_________________
Denn nur wer was zu sagen hat,
Der hat's, wenn es nicht unabdingbar ist

http://clan-ggg.de.vu/


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 09.05.2002, 21:10 
AM.de Team
Benutzeravatar

Registriert: 22.10.2001, 01:00
Beiträge: 839
Zitat:
BTW, daRope,
es gibt ein Plugin, dass einem online auf dem Server die users.ini bearbeiten lässt. Diesen Code könnte man leicht zweckentfremden und einen automatischen Eintrag in die users.ini machen => Vollzugriff. Wäre es möglich writefile den Zugriff auf die users.ini zu verbieten?
Oehm, also das letzte mal, dass ich nachgesehen hatte, konnte man auch unter Windows eine Datei mit Schreibschutz versehen. Das sollte doch wohl langen. Ausserdem sollte man admin_access_write auf 0 setzen. (Jaja, ich kenn das Loch. Wird behoben.)

_________________
There are no stupid questions, only stupid people.


Nach oben
   
Beiträge der letzten Zeit anzeigen:  Sortiere nach  
Ein neues Thema erstellen  Auf das Thema antworten  [ 48 Beiträge ]  Gehe zu Seite Vorherige 1 2 3


Du darfst keine neuen Themen in diesem Forum erstellen.
Du darfst keine Antworten zu Themen in diesem Forum erstellen.
Du darfst deine Beiträge in diesem Forum nicht ändern.
Du darfst deine Beiträge in diesem Forum nicht löschen.
Du darfst keine Dateianhänge in diesem Forum erstellen.

Suche nach:
Powered by phpBB® Forum Software © phpBB Limited
Deutsche Übersetzung durch phpBB.de
Original Design von "[ Half-Life Admin Mod © Alfred Reynolds 2000-2003 ] - [ site design by Jägermeister ]"