Hallo,
Zitat:
Zitat von Frank Schmidt
Das ist so schwer zu beurteilen, ob das sicherheitsrelevant ist. Dafür müsste mal jemand, der sich mit Hacken auskennt auf den Parameter ein entsprechendes Javascript loslassen und schauen, ob's den Server zerlegt.
|
Frank, du schweifst ab. Deine Aussage war auf ein konkretes Beispiel, in diesem Fall das Fehlen eines Parameters bezogen und dass dadurch eine Funktionalität erreicht wird, die nicht öffentlich ist (nicht verlinkt). Das hat genau gar nichts mit Hacken zu tun.
Zitat:
|
Aus Sicherheitsgründen sollte man im Optimalfall keine URL-basierten Parameter verwenden. Mach ich aber auch öfter, da es einfacher ist und schneller geht - sicher ist das aber nur wenn man dann jeden Parameter entsprechend prüft und diverse Manipulationsmethoden abfängt.
|
das gilt genauso für nicht-URL-basierte Parameter. Was ist dein Punkt?
Zitat:
|
Wenn es dich beruhigt: TT-Info benutzt auch solche Parameter. Dass das haltloser Unsinn und fachlich unbegründet ist ist deine Meinung. Das Gegenteil lässt sich in zahlreichen Publikationen im Internet zum Thema sichere Parameterübertragung nachlesen. Viel Spaß beim Recherchieren.
|
Frank, _du_ hast eine Behauptung aufgestellt. Meinst du nicht, dass _du_ derjenige sein solltest, diese auch fachlich zu untermauern? Wieso schätzt du es als sicherheitskritisch ein, dass ein fehlender Parameter ein anderes Ergebnis liefert? Wie kommst du zu der Einschätzung, dass das von den Entwicklern nicht gewollt ist?
Zitat:
|
Aber das sind so die üblichen Reaktionen der click-TT Fanatiker.
|
falsch geschätzt, ich bin keiner. Ich kenne die anderen Ergebnisdienste nicht mal, daher erlaube ich mir darüber kein Urteil. Ich bin lediglich ein interessierter Mitleser und Software-Entwickler, der sich daran stört, dass du hier den Eindruck vermittelst, jemand anderes hätte nicht sorgfältig gearbeitet, ohne dass du diesen Eindruck anhand der hier vorliegenden Informationen technisch begründen könntest.
Zitat:
|
Eine einfache sachliche Feststellung wird hier stets als kapitaler Angriff auf die Würde von click-TT interpretiert.
|
die Sachlichkeit fordere ich ja gerade ein - Frank, deine Aussage war in dieser Form unsachlich!
Zitat:
|
Wenn ich schreiben würde: der Hintergrund von click-TT ist grau würden Leute wie du wahrscheinlich direkt antworten: bist du geistig umnachtet oder gehirnamputiert oder warum hasst du graue Seiten?
|
dieser Satz ist ja furchtbar! Allerdings kann ich, wieder von der Sicht eines interessierten Mitlesers, sagen, dass auch ich den Eindruck habe, dass dir hier sehr viel Kontra gegeben wird. M.E. liegt das aber einerseits an der Frequenz, mit der du schreibst (du schreibst halt außergewöhnlich viel). Andererseits an der Art, wie du schreibst. Du schreibst ja eben nicht "der Hintergrund von click-TT ist grau", sondern "der Hintergrund von click-TT ist hässlich grau". Ansonsten zeig doch mal einen sachlichen Beitrag von dir, auf den deiner Meinung nach unangemessen scharf reagiert wurde.
Gruß,
Ed.