Onderwerp: oscomerce hack?

Oorspronkelijk geplaatst door Herbert

Welke mail hack gaat het over? Ik heb nooit een mail hack gehad gelukkig.
Ik ben nog even aan het zoeken geweest, de nieuwe oscomerce heeft ook al lekken.
Het nadeel bij oscomerce is dat bij een update/upgrade de hele template wordt overschreven,
je kunt dan alle custom codes weer opnieuw gaan doen.

http://www.billcookedesigns.com/tag/...-phplogin-php/

Een hele simpele oplossing zou al zijn om je admin dir van een wachtwoord te voorzien.

Ik kwam het vandaag ook weer eens tegen dus denk ook maar meteen even het topic inlichten.
Ik vermoed dat Multiviews uitzetten het probleem ook oplost, je kunt het dan niet meer via de url benaderen.

Doe eens een find/locate op goog*
wellicht krijg je er meer.

Ik weet niet in welke versie van osCommerce, maar was het niet zo dat je ieder willekeurig bestand via /admin/(.*)/login.php op kon vragen? En zo ook alle bestellingen, betaalstatussen, enz.

(3 seconden Google'n later: http://seclists.org/fulldisclosure/2009/Nov/169)

Gezien de ontwikkelsnelheid en geschiedenis van osCommerce, gewoon de deur uit doen dat pru^Wpakket.

Ieder pakket wat al lang bestaat bevat lekken, maar dan is osCommerce toch eentje met niet eens zoveel.

Ongeveer 5 jaar doen over een patch om oscommerce te laten functioneren met uitgeschakelde register_globals, of door nu nog steeds afhankelijk te zijn van register_long_arrays... Er zijn pakketten die dat beter, en netter, geregeld hebben (bovenstaan de link is van november 2009, er is nu nog geen nieuwe versie).

Maar goed, ik wil hier geen discussie of flame war over pakketten beginnen

Er wordt ook niet meer ontwikkeld aan versie 2, daarvoor heb je 3.
Maar je hebt gelijk daat de ontwikkeling niet hard gaat, maar dat is ook niet zo van belang aangezien osCommerce er veel meer gericht is op het aanpassen van de webinkel en patchen dus toch niet zal werken.
Het is meer gebaseerd op de verantwoordelijkheid van de onderhouder van het systeem.