Abo
  • Services:
Anzeige
Von einer solchen Fehlermeldung wurde unser Autor kürzlich überrascht.
Von einer solchen Fehlermeldung wurde unser Autor kürzlich überrascht. (Bild: Screenshot Hanno Böck)

Wie konnte das nur passieren?

Das Passwort habe ich umgehend geändert. Das Risiko ist überschaubar. Der Datenbanknutzer hatte nur Zugriffsrechte auf diese eine Datenbank, und darin war nichts geändert. Der Angreifer hätte zwar die Kontrolle über den Inhalt meiner Webseite erlangen können - es existiert eine Installation von PhpMyAdmin, die auch relativ leicht zu finden ist -, aber mehr vermutlich nicht. Es gibt keine direkte Möglichkeit, durch die Kontrolle über die Datenbank Code auf dem Server auszuführen. Diese Möglichkeit besteht nur, wenn ein Datenbanknutzer erweiterte Rechte hat (etwa die "FILE"-Berechtigung), aber das war nicht der Fall.

Anzeige

Passiert ist Folgendes: Aus komplett anderen Gründen war der MySQL-Datenbankserver abgestürzt und für kurze Zeit offline. Das führte dazu, dass beim Verbindungsversuch zur Datenbank ein Fehler auftrat. Es müssen ein paar Dinge zusammenkommen, damit dieser Fehler auftritt und ein Passwort enthält.

PHP besitzt eine Option display_errors, mit der konfiguriert werden kann, ob Fehlermeldungen direkt angezeigt werden. Die PHP-Dokumentation empfiehlt, diese Option auf Produktivsystemen zu deaktivieren, verschweigt aber die erheblichen Risiken, die damit einhergehen. Allerdings ist display_errors standardmäßig aktiviert, wenn man die Option in der PHP-Konfiurationsdatei überhaupt nicht setzt. Das steht übrigens nicht in der Dokumentation.

Display-Errors war bewusst aktiv

Es war kein Versehen, dass display_errors aktiviert war. Ich hatte mich vor längerer Zeit bewusst dafür entschieden. Ursprünglich war die Option auf dem entsprechenden Server global deaktiviert. Ich hatte allerdings bei einem Test einer neueren PHP-Version vor einiger Zeit gemerkt, dass mehrere meiner PHP-Skripte Fehler enthielten, die durch das Abschalten der display_errors-Option unbemerkt blieben. Um das zu verhindern, hielt ich es für sinnvoller, die Anzeigen von Fehlermeldungen standardmäßig zu aktivieren. Im Rückblick war das keine gute Idee.

Eine weitere Besonderheit hier ist, dass die Fehlermeldung einen Stack Trace enthielt. Nur dadurch wurde das Passwort sichtbar. Nicht alle Fehlermeldungen von PHP enthalten Stack Traces. Für Datenbankzugriffe verwendet die Seite die objektorientierte PDO-Erweiterung von PHP (PHP Database Object). Im Fall eines Verbindungsfehlers erzeugt diese eine Exception. Exceptions können mit den Befehlen try und catch abgefangen werden. Wenn man Exceptions jedoch unbehandelt lässt, werden die Fehlermeldungen mit Stack Trace ausgegeben. Fairerweise sei hier gesagt, dass die PDO-Dokumentation eine deutliche Warnung vor diesem Szenario enthält.

MySQL produziert harmlose Fehlermeldungen

Ungewöhnlich ist hier die uneinheitliche Behandlung von Fehlern durch PHP. Als Alternative zu PDO gibt es in PHP für MySQL-Verbindungen die mysqli-API. Die verwendet keine Exceptions und die Fehlermeldungen enthalten weder Stack Traces noch Passwörter. Das erscheint mir insofern bemerkenswert, als ich in der Vergangenheit häufig Nutzern empfohlen habe, PDO mit Prepared Statements zu verwenden. Die mysqli-API unterstützt jedoch ebenfalls Prepared Statements und ist daher möglicherweise die sicherere Alternative.

 IT-Sicherheit: Wie ich mein Passwort im Stack Trace fandPHP macht es dem Nutzer zu einfach, Fehler zu machen 

eye home zur Startseite
Astorek 15. Apr 2017

Gibt ja eine Website, die versucht, die bekanntesten Static Website Generatoren zu...

Noppen 15. Apr 2017

Mir ist letztens das Essen angebrannt. Ich würde sagen, dass die eigene Küche...

VigarLunaris 15. Apr 2017

Was soll ich da sagen... config.py enthält die variablen Darin liegen Brent-Hashing PWs...

.:Tim:. 15. Apr 2017

Naja, an das selbstverständlichste auf Produktivsystemen hat er nicht gedacht...

gadthrawn 14. Apr 2017

Es mag nur ein Schalter sein, aber intern wird mit einfachen Schaltern eben viel mehr...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Abstatt
  2. ROHDE & SCHWARZ GmbH & Co. KG, Teisnach
  3. Harvey Nash GmbH, Frankfurt am Main oder Berlin
  4. Bundes-Gesellschaft für Endlagerung mbH (BGE), Salzgitter, später Peine


Anzeige
Top-Angebote
  1. 20,99€ + 5€ Versand (für Prime-Mitglieder)
  2. 8,58€ (ohne Prime bzw. unter 29€ Einkauf + 3€ Versand)
  3. 39,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. Ronny Verhelst

    Tele-Columbus-Chef geht nach Hause

  2. Alphabet

    Google Gewinn geht wegen EU-Strafe zurück

  3. Microsoft

    Nächste Hololens nutzt Deep-Learning-Kerne

  4. Schwerin

    Livestream-Mitschnitt des Stadtrats kostet 250.000 Euro

  5. Linux-Distributionen

    Mehr als 90 Prozent der Debian-Pakete reproduzierbar

  6. Porsche Design

    Huaweis Porsche-Smartwatch kostet 800 Euro

  7. Smartphone

    Neues Huawei Y6 für 150 Euro bei Aldi erhältlich

  8. Nahverkehr

    18 jähriger E-Ticket-Hacker in Ungarn festgenommen

  9. Bundesinnenministerium

    Neues Online-Bürgerportal kostet 500 Millionen Euro

  10. Linux-Kernel

    Android O filtert Apps großzügig mit Seccomp



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Neuer A8 vorgestellt: Audis Staupilot steckt noch im Zulassungsstau
Neuer A8 vorgestellt
Audis Staupilot steckt noch im Zulassungsstau
  1. Autonomes Fahren Continental will beim Kartendienst Here einsteigen
  2. Verbrenner Porsche denkt über Dieselausstieg nach
  3. Autonomes Fahren Audi lässt Kunden selbstfahrenden A7 testen

Anker Powercore+ 26800 PD im Test: Die Powerbank für (fast) alles
Anker Powercore+ 26800 PD im Test
Die Powerbank für (fast) alles
  1. Toshiba Teures Thunderbolt-3-Dock mit VGA-Anschluss
  2. Asus Das Zenbook Flip S ist 10,9 mm flach
  3. Anker Powercore+ 26800 PD Akkupack liefert Strom per Power Delivery über USB Typ C

Matebook X im Test: Huaweis erstes Ultrabook glänzt
Matebook X im Test
Huaweis erstes Ultrabook glänzt
  1. Huawei Neue Rack- und Bladeserver für Azure Stack vorgestellt
  2. Matebook X Huaweis erstes Notebook im Handel erhältlich
  3. Y6 (2017) und Y7 Huawei bringt zwei neue Einsteiger-Smartphones ab 180 Euro

  1. Re: Steuergelder = Quellcode offenlegen

    piratentölpel | 00:31

  2. Re: Erfahrungsgemäß ist bei den Surface Laptops

    dEEkAy | 00:31

  3. Re: DSLRs?

    Flexy | 00:22

  4. Re: Es ist echt verblüfffend.....

    Patman | 00:12

  5. Re: Reichtum ist parasitär

    piratentölpel | 00:05


  1. 23:54

  2. 22:48

  3. 16:37

  4. 16:20

  5. 15:50

  6. 15:35

  7. 14:30

  8. 14:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel