naja, wenn es einer wissen will sieht er den ordner im quellcode vom shop ich hab aber immer die neuste piwik und der hat eigene db und der db user hat keine rechte zu anderen DB die frage ist vielmehr, wenn es so eine LÜCKE wirklich gibt, warum kennt dann nur so ein unbedeutender Hans-Wurst die Lücke? ich vermute da auch eher eine nicht shopseitige lücke oder sicherheitsproblem (PW knacker usw.)
hatte das ehrlich gesagt nicht auf dem Schirm, dass man PIWIK in einer eigenen DB installieren kann............
@Dennis finden kann man alles, aber man muss es denen ja nicht so einfach machen @Achim Wo ist das Problem eine extra DB anzulegen?
Hallo Barbara ne, ist kein Problem; habe ich auch schon erledigt. War nur der Meinung, dass Piwik Zugriff auf die Shop-DB benötigt und deshalb bin ich gar nicht auf die Idee gekommen......
Nein, die Annahme war leider falsch... Das ist keine alphabetisch sortierte Tabellenliste wie in PHPMyAdmin, sondern sieht aus wie mit dem "Mini-SQL" von Gambio erstellt... Auch der Inhalt der Kunden-DB scheint authentisch zu sein... Da gibt es wohl tatsächlich eine Möglichkeit, die Admin-Kontrolle zu übernehmen....
Ich habe die Shops meiner Frau weiter abgesichert: da wird ein Admin-Login nur akzeptiert, wenn der Shop mit einem bestimmten Parameter gestartet wurde.....
Ich habe mal die Log-Dateien untersucht... Da gab es viele Versuche per "SQL Injection" einzubrechen... Ausgehend von diesem Tool: http://sqlmap.org/
Ja, eigentlich schon.... So sieht z.B. ein Aufruf aus: PHP: index.php?manufacturers_id=999999.9%20union%20all%20select%200x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536%2C0x31303235343830303536-- Habe das mal debugged, dieser $_GET-Parameter "manufacturers_id" überlebt den GProtector, die "Input-Filter"-Klasse, "xtc_db_prepare_input" und "mysql_escape_string" als PHP: 999999.9 union all select 0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536,0x31303235343830303536-- Ob damit dann letztendlich der Einbruch gelang weiss ich nicht.
auf jeden Fall sollte Achim mal eine Stranzeige gegen den Herren machen ... die hat er sich redlich verdiend