Heute ist die neue 3er Version von phpMyAdmin erschienen. Ein Grund mehr um auf die versteckten Features des Tools hinzuweisen.

Das Tool phpMyAdmin wird von sehr vielen Entwicklern verwendet und doch oft unterschätzt. Als ich auf einen Linuxtag den Hauptentwickler aus Kanada kennen lernte, war ich echt überrascht welche versteckten Features in diesem Tool stecken. Erstaunlich ist auch, dass dieses Projekt von einer kleinen Handvoll an Entwicklern verwaltet wird und er das neben seiner Professoren Stelle nebenbei betreut.

Diese Features entdeckt man erst wenn man die Meta Tabellen installiert. Eine passende SQL Datei befindet sich im Scripts Ordner. Diese muss man dann auch noch in der Konfigurationsdatei als PMA Tabellen bekannt machen. Sobald diese installiert sind kann man mit  phpMyAdmin folgende Dinge machen:

• SQL Befehle speichern
• Verlauf der SQL Befehle ansehen
• Ein PDF mit dem Datenbank Layout erstellen
• Verknüpfung der Tabellen definieren und nutzen auch ohne InnoDB
• Anzeige von Bildern in Tabellen innerhalb von phpMyAdmin

Datenbank Layout als PDF exportieren

Wenn man dieses Feature sinnvoll nutzen möchte, muss man erst die Beziehungen der Tabellen einstellen. Dann kann man das PDF erstellen indem man die Datenbank auswählt und dann auf den Punkt “Operationen” klickt. Ganz unten findet man das PDF Menü.

Über den Link PDF Seiten bearbeiten kann man neue Schemas anlegen.

Danach kann man die Tabellen auswählen und das Layout per Drag & Drop anordnen.

Erzeugt wird dann ein PDF mit der Beschreibung aller Tabellen und eine grafische Beziehungsübersicht.

Beziehungen zwischen den Tabellen definieren

Die Möglichkeit die Beziehungen zwischen den Tabellen zu definieren ist nicht nur zur Dokumentation praktisch, sondern auch um innderhalb der Datensätze einfach zu navigieren.

Über das Feld “Anzuzeigende Spalte bestimmen” kann man sogar den Tooltipp definieren der bei der Verlinkung angezeigt werden soll.

Wenn man sich danach die Datensätze anzeigen läßt, bekommt man einen Link zu den korrespondierenden Datensatz angezeigt und dessen Tooltipp. Das Spart sehr viel Arbeit. Insbesondere bei stark normalisierten Tabellen.

DB Designer

In der Version 3 ist der DB Designer hinzugekommen. Mit diesen kann man die PDF noch einfacher erstellen und anordnen.

Die neue 3 er Version erfordert PHP 5.2+ und MySQL 5.0.15+. Das deutet auf eine Modernisierung des Codes hin.

Seit PHP5 kann man in Methoden die praktischen Typehints einsetzen. Dadurch kann man sicherstellen dass der Code richtig verwendet wird und nicht die falschen Typen verwendet werden. Leider geht das nur mit Objekten und Arrays. Für skalare Werte ist das nicht möglich.

Max Horvath hat deshalb eine Erweiterung geschrieben mit der das möglich ist.

DIe Typehints sind damit für folgende Typen möglich:

• boolean
• float
• integer
• object (Allgemeiner Typehint für alle Objekte)
• resource
• string

Er hat die Erweiterung mit Namespases und als Phar Extension geschrieben deshalb kann man die Erweiterung erst unter PHP 5.3 verwenden. Die Phar Erweiterung kann einfach über ein include Befehl eingebunden werden,

Es genügt einfach ein:

include ‘com.maxhorvath.phptypesafe.phar’;

Und dann kann man die Typehints in den Code einbauen.

class Test{

public function run(string $text, int $count, boolean $isready ){ ...}

}

Ich habe die Erweiterung bei mir getestet und sie funktioniert wirklich einwandfrei und simpel. Sobald PHP 5.3 offiziell erschienen ist wird die Erweiterungen in meinen Projekten enthalten sein, da mir dieses Feature immer gefehlt hat.

Die Erweiterung kann hier heruntergeladen werden: dev.maxhorvath.com.

In den letzten Tagen gab es viel Trubel um geklaute Benutzerdaten. Heutzutage sind nicht nur Hacker gefährlich, sondern auch die eigenen Mitarbeiter oder extra eingeschleuste Spione. Diese haben oft einen einfachen Zugriff auf die Datenbanken und können einen  Dump der Datenbank machen und die dann verkaufen.

Deshalb sollte der Inhalt der Datenbanken möglichst verschlüsselt sein um die Nutzbarkeit eines solchen Dump zu verhindern.

Passwörter verschlüsseln

Passwörter sollten immer verschlüsselt in der Datenbank abgelegt sein. Leider geschieht das oft nur mit einer einfachen md5 Verschlüsselung.

<?php
$hash = md5($password);
?>

Für md5 gibt es unzählige Tools um diese wieder in Klartext umzuwandeln (Google: md5 reverse). Auch andere Verschlüsselungs Systeme helfen da nicht, wenn man das Verschlüsseln nicht komplizierter macht.

Zusätzlich zu dem Passwort sollte man noch den Login Namen in den Verschlüsselungs Mechanismus einbauen. Aber auch dass lässt sich mit ein wenig krimineller Energie schnell knacken.

<?php
$hash = md5($password.$login);
?>

Wenn man noch einen Anwendung spezifischen Schlüssel einbaut wird es sehr schwer das Passwort den Benutzers zu ermitteln.

<?php
$salt = 'jfhfg&%55707865gGFds93kjl3ß()(73äü';
$hash = md5($salt.$password.$salt.$login.$salt);
?>

Kreditkarten- und Bankdaten

Kreditkartendaten sind das sensibelste eines Online Shops. Diese Daten sollte man nur speichern wenn man sicherstellen kann dass diese nicht geklaut werden können. Da jeder Benutzer weiß, dass Kreditkartendaten gerne geklaut werden, ist er auch nicht verärgert wenn er seine Daten immer wieder erneut eingeben muss.

Um die Daten dennoch sicher zu speichern gehe ich wie folgt vor:

Ich verschlüssele alle Daten mit einer Verschlüsselung die einen eindeutigen Schlüssel benötigt und wieder entschlüsselbar ist. Zu Beispiel Blowfish.

Wichtig: Der Schlüssel zum Ver- und Entschlüsseln ist dabei nicht in der Anwendung hinterlegt.  Den Schlüssel erzeuge ich bei dem Login den Benutzers anhand seiner Login Daten un speichere diesen dann in der Session.

<?php
$saltkredit = 'jfhfg&%dd55707865gGFds93kjl3ßddd()(73äü';
$hashkredit = md5($salt.$password.$salt.$login);
$_SESSION['KREDITKARTEN_HASH'] = $hashkredit;
?>

<?php
$kreditkartendaten_sicher = crypt($str, CRYPT_BLOWFISH);
$bf = & Crypt_Blowfish::factory('cbc');
$iv = 'd55707865gGFd';
$key = $_SESSIO['KREDITKARTEN_HASH'];
$bf->setKey($key, $iv);
$encrypted = $bf->encrypt('Kreditkartennummer');
?>

Die Kreditkarten- und Bankdaten können somit nur während einer aktuellen Sitzung des Benutzers verwendet werden. Selbst der Shop Besitzer könnte mit den Daten nichts anfangen sofern auch das Passwort richtig verschlüsselt gespeichert worden ist.

Das Events Design Pattern ist ein sehr nützliches Pattern wenn man eine Anwendung hat in der sehr viel fachliche Logik auftritt und es ständig neue Anforderungen an bestehenden Prozessen gibt.

Beispielsweise kann es sein das nach einen Login verschiedene Dinge geprüft werden müssen. Zusätzlich sollen vielleicht noch Aktionen geloggt werden.

Wenn man jedesmal den Code für den Login erweitern würde, dann hätte man innerhalb kürzester Zeit eine riesige Klasse mit schwer wartbaren Code.

Bei dem Observer Pattern gibt eine Anwendung nur bekannt das ein bestimmtes Ereignis (Event) stattgefunden hat. Andere Programmteile können sich von außen an den EventDispatcher anmelden und werden dann von diesen benachrichtigt wenn das Ereignis eintritt.

In der PHP Bibliothek PEAR gibt es dieses Pattern schon fertig programmiert: Event_Dispatcher.

1. Handler erstellen

Als Erstes benötigt man einen Handler der das Ereignis verarbeitet.

class Handler{
/**
* @param    Event_Notification
*/
public function getOnlogin(Event_Notification $oEvent_Notification){
$oValueObjects_User = $oEvent_Notification->getNotificationObject();
$aInfos = $oEvent_Notification->getNotificationInfo();
// mach irgendetwas
}
}

2. Handler registrieren

Jetzt muss der Handler beim Event Dispatcher registriert werden.

require_once 'Event/Dispatcher.php';
$oEvent_Dispatcher = Event_Dispatcher::getInstance();
$oEvent_Dispatcher->addObserver(array(new Handler(),'onLogin'),'onLogin');

Der erste Parameter ist ein PHP Callback. Als dritten Parameter kann man von eingrenzen von welche Objekten dieser Event geworfen werden darf.

3. Ereignis auslösen

Jetzt muss das Ereignis noch ausgelöst werden.

require_once 'Event/Dispatcher.php';
Event_Dispatcher::getInstance()->post($this,'onLogin',$aInfo);

Im dritten Parameter kann man noch Informationen in Form eines Array übergeben.

Nutzen

Veränderung vermeiden

Der Nutzen in dem Pattern liegt darin das man die Anwendung nicht mehr nachträglich anpassen muss um Erweiterungen einzubauen.

Verantwortlichkeiten sauber trennen

Die Verantworltichkeit der Kompontenten bleibt frei von Nebensächlichkeiten. Zum Beispiel kümmert sich dann die Login Komponente nur um das Login und sonst nichts. Alles andere wird über die Events abgearbeitet.

Fazit

Ich verwende dieses Pattern sehr viel und es macht die Anwendung wartbarer und den Einbau von Erweiterungen einfacher. In anderen Sprachen wie .NET ist das Pattern bereits in die Sprache eingebaut.

PHPIDS ist ein System zur Erkennung von Angriffen auf Webseiten. Es ist ein in PHP geschriebenes Werkzeug mit dem man eingehende Requests auf potenzielle Gefahren wie SQL-Injection, XSS und andere prüfen kann.

Als Basis dient eine XML Datei mit Filtern die regelmäßig aktualisiert wird. Somit ist man auch für die neuen Ideen der Hacker gewappnet.

Das Tool lässt sich besonders einfach einsetzten wenn man das Design Pattern “Filter” einsetzt.

Die Dateien müssen einfach heruntergeladen werden und in den include_path aufgenommen werden.

Config.ini

Als erstes muss man die Config.ini anpassen. Dort müssen die richtigen Pfade eingetragen werden und entschieden werden wie das Caching geschehen soll.

Zu Auswahl stehen:

• Datei
• Datenbank
• Memcache

Wenn man das mitgelieferte Logging verwenden möchte, muss man hier auch Einstellungen vornehmen.
Ich bevorzuge mein bestehendes Logging zu verwenden und einen Angriff über eine Exception zu signalisieren.

Hier kann man auch Felder definieren in den HTML vorkommen darf oder welche Werte nicht geprüft werden sollen.

html[]  = feld_name_mit_html
exceptions[]    = feld_name_welches_nicht_geprüft_wird

Da in dieser Datei wichtige Informationen für Hacker stehen, darf die Datei nicht über das Web sichtbar sein und sollte außerhalb des Webroots liegen.

Filter Beispiel

Hier ein Beispiel eines Filters der vor jeder Aktion auf der Seite ausgeführt.

require_once 'IDS/Init.php';
class Filter_IDS implements Filter_Base{
    /**
     * @param    FrontControler_HttpRequest
     * @param    FrontControler_HttpResponse
     */
    public function execute(FrontControler_HttpRequest $oFrontControler_HttpRequest,
                          FrontControler_HttpResponse $oFrontControler_HttpResponse){
        $aRequest =  array(
            'GET' => $_GET,
            'POST' => $_POST,
            'COOKIE' => $_COOKIE
        );

        $oIDS_Init = IDS_Init::init(/pfad/zu/der/Config.ini);
        $oIDS_Monitor = new IDS_Monitor($aRequest, $oIDS_Init);
        $oIDS_Report = $oIDS_Monitor->run();
        if(!$oIDS_Report->isEmpty()){
            if($oIDS_Report->getImpact()>4){
                    throw new InvalidAccesException('IDS Filter: '.$oIDS_Report);             
            }
        }
    }
}

In diesen Fall wird erst ab einen Impact größer als 4 Alarm geschlagen. In diesen Fall wird eine InvalidAccessException geworfen. Diese wird zusammen mit der IP geloggt und wenn diese IP eine bestimmte Anzahl solcher Einträge hat, werden alle Anfragen von der IP für eine bestimmte Zeit gesperrt.

Fazit

Die Geschwindigkeit von PHPIDS ist sehr gut und die Meldungen sind sehr aussagekräftig (siehe unten).

Wichtig: Die Filter schlagen oft unerwartet Alarm. Deshalb sollte man den Filter erstmal Testweise einbauen und nicht auf die “Angriffe” reagieren sondern die Werte erst mal Loggen da man sonst seine Benutzer verärgern könnte.