amerikanischem Format. Auch hier koennen Sie das Format gerne auf deutsch
umstellen.
-Diese beiden Codes stehen in der inc/config.php und koennen nach den oben
-genannten Regeln geaendert werden.
+Diese beiden Codes stehen in der inc/cache/config-local.php und koennen nach
+den oben genannten Regeln geaendert werden.
-Wird eine Mail bestaetigt so, erzeugt das PHP-Script mailid_top.php in Zeile 229
+Wird eine Mail bestaetigt so, erzeugt das PHP-Script mailid.php in Zeile 229
per rand() Funktion eine Zufallszahl zwichen 0 und 99999. Diese wird beim Laden
der Seite mit der Code-Eingabe an die URL dran gehaengt.
-Im Script mailid_top.php, Zeile 124 werden die beiden Codes mit dem User-Agent
+Im Script mailid.php, Zeile 124 werden die beiden Codes mit dem User-Agent
(genaue Browserbezeichnung) und der Zufallszahl aus der URL aneinander gehaengt
und hexdec() codiert. Aus der dann resultierenden Zahl werden so viele Stellen
nach dem Dezimalpunkt extrahiert, wie viel Sie im Admin-Bereich eingestellt
Es ist also weder moeglich, sich mit gleicher E-Mail-Adresse, noch innerhalb
einer einstellbaren Zeitspanne mit unterschiedlichen E-Mail-Adressen anzumelden.
-Beide Barrieren koennen Sie im Admin-Bereich veraendern, die Standart-
+Beide Barrieren koennen Sie im Admin-Bereich veraendern, die Standard-
Einstellung ist mit einigen Webmastern abgeklaert und sollte sicher genug sein.
3. Modul-Sicherheit
PHP-Nuke uebernommen.
Diese Sicherheitsbarriere ist fuer den normalen Besucher nicht sichtbar. Erst
-wenn er versucht, Include-Dateien direkt aufzurufen (inc/config.php
+wenn er versucht, Include-Dateien direkt aufzurufen (inc/cache/config-local.php
beispielsweise), so wird eine rote Warnseite angezeigt und der Ablauf des
Scriptes "stirbt".
entfernten Angreifer theoretisch moeglich, SQL-Befehle einzuschleusen und auch
Attacken auf die Variable $PHP_SELF durchzufueheren. Seit Patch 486 und 487
(laden Sie sich am Besten immer die aktuellsten Patches herunter!) sind nun
-entsprechende Zeilen aus der inc/db/lib-mysql3.php (Funktion SQL_QUERY_ESC)
+entsprechende Zeilen aus der inc/db/lib-mysql.php (Funktion sqlQueryEscaped)
entfernt sollten nicht mehr angreifbar sein. Der generierten SQL-Befehl wurde
vor der Ausfuehrung nochmals "uebersetzt", also alle sicherheitsgefaehrdenen
Zeichen wieder eingebaut. Zudem existiert im Script
Was weniger mit der direkten Sicherheit des Scriptes zu tun hat, sondern eher
Ihren Mailtausch von Betruegern schuetzen soll, ist die Moeglichkeit, eine
zeitgesteuerte URL-Sperre einzurichten. Die selbe URL kann somit fuer eine
-einstellbare Zeit nicht mehr beworben werden. Wir empfehlen hier dabei
-mindestens 1 Tag, wenn nicht sogar eher 2 Tage.
+einstellbare Zeit nicht mehr beworben werden. Das Entwickler-Team empfiehlt
+hier dabei mindestens 1 Tag, wenn nicht sogar eher 2 Tage.
Leider ist diese Sperre mit dynamischen URLs leicht umrundbar. Es haelt jedoch
die Anfaenger fern.