[TYPO3-announce] Security Bulletin TYPO3-20061010-1: fe_adminLib.inc

[Valery Romanchev]

Сообщение от Дылгеров Ц.В.

http://www.altaforum.ru/showthread.php?t=268&page=2

Цитата:


интересно как он похищал чужие хеши?

Как я понимаю, все что идет по http можно похитить, если сидишь в той же локальной сети
Поэтому, если актуальна безопасность - надо юзать https

На эту тему в Install Tool есть:

[lockSSL]
Int. 0,1,2,3: If set (1+2+3), the backend can only be operated from an ssl-encrypted connection (https). Set to 2 you will be redirected to the https admin-url supposed to be the http-url, but with https scheme instead. If set to 3, only the login is forced to SSL, then the user switches back to non-SSL-mode

[loginSecurityLevel]
String. Keywords that determines the security level of login to the backend. "normal" means the password from the login form is sent in clear-text, "challenged" means the password is not sent but hashed with some other values, "superchallenged" (default) means the password is first hashed before being hashed with the challenge values again (means the password is stored as a hashed string in the database also). DO NOT CHANGE this value manually; without an alternative authentication service it will only prevent logins in TYPO3 since the "superchallenged" method is hardcoded in the default authentication system.

Ну а что касается этого кул хацкера... Кто его знает, человеку 20 лет, не 14 ;-) - может и действительно что-то сломал... но модули то ему зачем? Дефейснул бы - прославился :-) А модули скачивать и логи потом тереть - это как-то странно.