PHP beveiliging issues (oscommerce)

[mellie]

Hallow!

Ik ben gevraagd voor een kennis een oscommerce e-shop op te zetten,
nu kreeg ik echter te horen dat een of andere kennis van zijn zus (lekker vaag weer), hem heeft verteld dat dit script totaal niet veilig is en het een eitje is om jezelf toegang te verschaffen tot het adminpannel van dit programma.
Hij zou in no time zichzelf toegang hebben verschaft tot privegegevens op deze site. nu vindt ik het al curieus waarom hij zowiezo een poging zou doen de site uit te pluizen naar oneigelijke toegang, maar het zit mij natuurluijk niet lekker.

Ik heb al uitgebreid gegoogled, en wat tests uitgevoerd op mijn php/sql scripts door te kijken of de wachtwoorden te omzeilen zijn e.d.
Nu ben ik erg benieuwd of mensen hier ervaring mee hebben, of tips hebben om dit te voorkomen. Ik moet eerlijk zeggen ik heb geen hkey op de map gezet of ssl aan staan. Maar is dit mogelijk wat er beweerd wordt?

zijn er (te) simpele queries die je kan uitvoeren op de pagina om simpel gegevens uit je scripts of server op te duiken??

[nielsrenselaar]

Is het niet zo dat de standaard installatie van oscommerce geeneens een beveiligd beheer paneel heeft? Tenminste, dit was vroeger het geval... deze moest je zelf beveiligen.

[Ramon Fincken]

laat die kennis dan eens wat bewijzen op een laatste versie ?

[mellie]

Ja dat was ook mijn eerste reactie en heb vervolgens nix meer er over gehoord... dus ik vindt dit alles al twijfelachtig, maar toch ga je twijfelen he...

Ik heb zelf een vermoeden dat hij het oscommerce wachtwoord, wellicht tijdens een bezoek heeft afgekeken en wat onrust wil veroorzaken.

[pierce]

Er zijn genoeg oscommerce websites, laat hij het daarop eens proberen.
Ik raadt je dan aan wel om dat niet vanaf jou internet verbinding te doen

[1ms]

De laatste versie is gewoon veilig.
Zit ook een standaard beveiligd admin panel bij.

Heb namelijk hetzelfde gedacht en heb toen op google gezocht naar oscommerce 2.2 exploit. Daar heb ik er wel wat gevonden, maar deze werkte dus helemaal niet. (gepatched dus)
Je moet echter wel oppassen met contributions installeren. Deze worden door de community gemaakt en zijn soms erg onveilig geschreven.

[Designerhosting]

Ik had laatst iemand aan de telefoon die ook zei dat zijn oscommerce ook makkelijk was te hacken. mijn test met de laatste versie was ook dat je niet zomaar kom inloggen, wellicht dat dat eerder kon. Maar ik zou me niet al te vel zorgen maken met de huidige versie....

[wonko]

vroeger was oscommerce idd een hel qua beveiliging, je kon er gewoon binnenwandelen. De laatste versies zijn echter wel goed, en zolang je oplet met de plugins, is er weinig om je zorgen over te maken.

[mellie]

Bedankt voor al jullie positieve berichten en aangezien ik vooralsnog geen plugins heb draaien op de webshop, weet ik nu dat ik eerder met een bluffer te maken heb dan met een serieus beveiligingsprobleem!
Bedankt!!