OpenPHPNuke - das Open Source CMS

Autor	Luke
Datum	16.01.2008 18:37
Beiträge:	Hmm. Hab mal wie in der Email angeraten den accessManager vom Server gelöscht. Eine Anypage-Seite (sichtbar nur für user) mit dem Tor. Bei X-Check eine 2. Anypage-Seite (ebenfalls nur für User) als Ziel url angegeben. So, wenn ich jetzt durch das Tor gehe (also "seite betreten" anklicke) dann geht es über X-Check zur 2. Anypage Seite. Wenn ich mir die Formdetails der 1. Anypage Seite (mit dem Tor) ansehe: formid488041182 post http://testwiese.ist-crazy.de/system/search/index.php Elements Index Id Name Type Value Label Size Maximum Length State 0 text-id-1113028022 query text 14 1 s submit 2 image 3 image Form Id Name Method Action xcGoThrough post http://security.personalid.de/loginCheck.php?PID_projectID=452&PID_SESSION=f5bb1fb0e94ac34eb5830f9cf4084d85&PHPSESSID=18b7d5ac5c610a759f4319109987245b008050016172&newPersonalID=1 Elements Index Id Name Type Value Label Size Maximum Length State 0 image 1 image Form Id Name Method Action smartGoThrough post http://www.x-check.de/goThroughSmartPay.php?PHPSESSID=18b7d5ac5c610a759f4319109987245b008050016172 und dann die 1. anypage seite aktualisiere und noch einmal die Formdetails ansehe, stelle ich fest, daß sich die PHPSESSID ändert: `xcGoThrough post http://security.personalid.de/loginCheck.php?PID_projectID=452&PID_SESSION=324c09ef4bc5747f3e217a5a63f25c4d&PHPSESSID=4959006d406d791d2188880e3f0ea2fe008050016172&newPersonalID=1` Weiß nicht ob das von relevanz ist, aber erwähnen wollte ich es auf jedenfall einmal. Also nun "seite betreten" angeklickt. Werde nun weitergeleitet zur 2. Anypage-Seite. Oben in der Adresszeile des Browsers steht: http://testwiese.ist-crazy.de/system/anypage/index.php?opnparams=CGgPO1BoAWM&xcKey=d7c2c5aff2e1e94a18fdede92c1a03c4&p1=1&p2=2 Die Parameter p1=1 und p2=2 habe ich (wie von dem Herrn von X-Check beschrieben) in das script der Torseite (1. Anypage Seite) mit angefügt. Wenn man nun anstatt p1=1 usw . die opn userid und einen zufällig von OPN erzeugten code anfügt, diese Daten mit durch das X-Check Tor schickt. Nach dem Tor landet der User auf der 2. Anypage Seite, wo dann die Userid und der zufällig erzeugte Code gegengeprüft werden. Das müßte doch sicher sein, oder? 1. Die User können auf die beiden Anypage Seiten nur zugreifen, wenn sie eingeloggt sind. 2. Eingeloggte User, die die Ziel url (2. Anypage Seite) kennen sollten, können damit ja auch nichts anfangen, da sie a.) ihre eigene userid von opn kennen müßten b.) den zufallscode nicht kennen 3. bei Ankunft an aypage seite 2 wird der vorher erzeugte zufallscode mit dem übertragenen zufallscode verglichen 4. man kann die gesendete userid mit der userid des eingeloggten users nochmals vergleichen 5. vielleicht kann man ja auch mit dem übertragenen xckey (xcKey=d7c2c5aff2e1e94a18fdede92c1a03c4) auch noch was anfangen. Gruß Luke