Admin-CP Sessionübernahme

Zitat von hchristo

Wollte dir mitteilen dass ich VOLLZUGRIFF auf dein ADMIN Panel hab...
Deine SID is noch aktiv, um es zu beweisen, hab ich die neu registrierung deaktiviert!

Oha, vielen Dank für diesen wichtigen Hinweis. Bin immer davon ausgegangen, dass auch im Adminpanel mindestens eine Cookie-Sperre aktiv ist (oder war sie deaktiviert?).

Bitte achtet also, dass ihr keine Links mit sids kopiert.

Zu der eigentlichen Frage: Wir empfehlen den Upgrade-Weg, anstatt manuell einzeln die Tabellen zu exportieren und zu importieren. Das verursacht nur unnötig Mehraufwand und ist zu fehleranfällig. Wenn man das Gefühl hat, die Datenbank ist kaputt, dann gibt es die Möglichkeit die Struktur zu reparieren.

Zitat von Sebijk

Oha, vielen Dank für diesen wichtigen Hinweis. Bin immer davon ausgegangen, dass auch im Adminpanel mindestens eine Cookie-Sperre aktiv ist (oder war sie deaktiviert?).

sollte Pflicht sein, das ist krass Oo

Zitat von Sebijk

Darum werde ich mich mit der nächsten Veröffentlichung kümmern. Bis dahin empfehle ich zusätzlich eine HTTP BasicAuth Abfrage via Webserver (bei Apache mit .htaccess umsetzbar) im Adminbereich einzubauen.

Betreibe einige Eigenentwicklungen und da prüfe ich beim Login immer ob es von der IP bereits ein Login gab und falls nicht informiere ich die Admin E-Mail-Adresse darüber, wäre eine nette Zusatz Funktion bei der man wenigstens informiert wird wenn doch ein Login stattgefunden hat von einer IP die man nicht kennt (wäre evtl. auch etwas für den LI bereich). Weiter müsste man weg von den SIDs kommen die immer in der URL auftauchen, gibt da elegantere varianten und immer mit dem Backend gegenprüfen anhand einer id / public ip etc... ob der User immer noch der User ist der sich Angemeldet hat.

Zitat von ManDal

Betreibe einige Eigenentwicklungen und da prüfe ich beim Login immer ob es von der IP bereits ein Login gab und falls nicht informiere ich die Admin E-Mail-Adresse darüber, wäre eine nette Zusatz Funktion bei der man wenigstens informiert wird wenn doch ein Login stattgefunden hat von einer IP die man nicht kennt (wäre evtl. auch etwas für den LI bereich). Weiter müsste man weg von den SIDs kommen die immer in der URL auftauchen, gibt da elegantere varianten und immer mit dem Backend gegenprüfen anhand einer id / public ip etc... ob der User immer noch der User ist der sich Angemeldet hat.

An so etwas arbeite ich auch allerdings ist das mit IP schwierig, da braucht man viele Daten und die IP ändern sich ständig, man könnte das nach Netz machen aber das wars dann schon. Geräte-Fingerprinting und Cookie-Sessions ist so mein Ansatz auch nochmal eine Überprüfung über 2FA oder Mailbestätigung machen wenns abweicht