Hello,
Naja, jemandem, der sich über die Herkunft von Fremdcode wundert, unterstelle ich einfach mal, dass er in Punkto Sicherheit noch nicht so viele Erfahrungen und Wissen gesammelt hat. Und ich bezweifle auch, dass er recht zeitnah die Lücken füllen kann, die ihn zum Säubern des Servers befähigen. Das soll jetzt kein Herabwürdigen sein, sondern es ist nur meine pessimistische Einschätzung der Lage, und ich wäre sehr erfreut, wenn ich mich mit dieser Vermutung getäuscht hätte.
Ich befürchte dann, eher nicht.
Und viele der Lücken kommen mit sogenannten Fertigscripten, Frameworks, CMS, oder wie die Dinger auch imemr heißen auf den Webserver. Selbst Typo3, was bestimmt nicht neu ist und nicht ohne Manpower dasteht, hat solche Lücken (gehabt). Ich hatte eine der Lücken damals gerade identifiziert, als kurze Zeit später Herrn Schäubles Webpage angegriffen wurde... Da waren also Andere schneller, als ich. Denn die hatten schon ein Angriffs-Szenario, als ich gerade noch die Auswirkungen der Lücke dokumentiert habe (und dafür von den Typo3-Leuten erstmal ausgelacht wurde).
Leider steigt man durch komplexere CMS (Frameworks) nicht mehr durch, da die notwendigen Funktionsbeschreibungen und Logik-Diagramme mesitens fehlen und man ja nicht Allman-Style (der bedeutet für mich bei fehlender ausführlicher Doku immer noch maximale Lesbarkeit), sondern irgendwelche komnprimierten kryptischen Kotzstile benutzt. Man will ja schließlich zeigen, wie toll man ist und mit wie wenig Platz man auskommt...
Ich habe im letzten Jahr drei Beratungskunden gehabt, die leider alle abgestürzt sind, bevor ich überhaupt was richten durfte (ich kann also mein Honorar jetzt beim Insolvenzverwalter geltend machen), weil ihr CMS, auf das ihre gute Geschäftsidee aufbaute, im entscheidenden Moment abgestürzt ist. Leider hatten sie es nicht einmal für nötig befunden, vernünftioge Provider zu wählen (bei denen ich hätte gucken dürfen) und/oder rechtzeitig die Logs aussagefähig zu machen und zu sichern.
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
Der Martin
Struppi
dedlfix