Veni, Vidi, VISA

Nein. Nicht heute oder morgen, sondern demnächst mal werde ich auf DokuWiki umsteigen. Das erste mal hab ich es Anfang 2007 auf meiner Homepage installiert und dann wieder durch statische Seiten ersetzt weil... öhm. Ja. Weil halt. Damals war es Release 2006-11-06. Ich habe es dann auch auf meiner Firmenseite (damals als Freiberuflicher IT-Consulant) genutzt und wurde von mehreren Kunden darauf angesprochen und sollte/musste/durfte es dann in diversen Firmen/Rechenzentren als CMS installieren. Vor ein paar Tagen habe ich es just for fun auf meinem lokalem Server installiert und angefangen es mit Inhalt zu füllen. Jetzt sind alle Texte - mit Ausnahme dieses Blogs - auf dem lokalem Wiki gespeichert und werden irgendwann mal die statische Seite ersetzen. Was jetzt noch fehlt ist Feintuning: Tabellen formatieren, Sidebars bzw. Navigationsleisten erstellen, Design anpassen und das ganze halbwegs brauchbar strukturieren.
Probleme tragen bisher kaum welche auf wenn man mal von PEBCAK absieht. Das Blog werde ich aber nicht auf DokuWiki übertragen; zum einen weil es ein extremer Arbeitsaufwand wäre und zum anderen bin ich mit S9Y aka Serendipity sehr zufrieden.

Sodala.. Nextcloud 13.0.1, S9Y 2.1.2, DokuWiki 2017.02.19e und PostgreSQL 10.3 sind installiert und laufen; versorgt werden sie von httpd(8) und PHP 5.6. Alles nicht optimal konfiguriert und auch nicht auf dem neusten Stand, aber mir ging es erstmal nur darum, alles zum laufen zu bekommen. Android synchronisiert sich mit der passenden App bzw. DAVdroid. Momentan hat die Kiste 8G RAM, eine AMD Phenom(tm) II X4 945 Processor, 3000.63 MHzm, 300W Netzteil und 100MBit/s RJ-45, welches direkt an der Fritz!Box hängt. Gespeichert werden die ganzen Daten auf einem Raid 5 mit ins. 8TB Speicherplatz. Momentan ist das alles nur eine Spielerei, weil ich erstmal ein Energiemessgerät dazwischenhängen muss, damit ich mir einen Überblick über den Stromverbrauch machen kann. Sollte sich der in Grenzen halten, wird die Kiste gegen einen richtigen Rechner getauscht, welcher besser geeignetere Komponenten enthält.
Sollte ich mal viel Zeit und noch mehr Lust haben, werde ich die einzelnen Installationsroutinen zusammenschreiben und veröffentlichen. Jetzt is erstmal Feierabend angesagt und ich fahr zum Fischen.

Weil ich gerade am ausmisten und aktualisieren bin, habe ich http://strcat.de/tmp/pdflush.txt Das liegt da schon seit mind. 2007 rum. Woher ich das weiß? Naja..

$ grep -r pdflush ~I/irclogs/

~/.irssi/irclogs/euirc/buha-2007-12-10:18:20       strcat!: xaitax: http://strcat.de/tmp/pdflush.txt

Jetzt muss ich erstmal meine Dotfiles auf den neusten Stand bringen und hochladen.


// Grad beim Upload eines ~500k großen JPEGs zu sehen bekommen; dabei hab ich noch nichtmal angefangen S9Y upzudaten. WTF?!

You don't have permission to access /fcgi-bin/php-fcgi-wrapper/blog/serendipity_admin_image_selector.php on this server.



Additionally, a 403 Forbidden error was encountered while trying to use an ErrorDocument to handle the request.

Serendipity bundles the powerful Xinha WYSIWYG editor to provide its functionality to our users.

Xinha ships with several plugins that utilize PHP scripting for special usage, like the ImageManager or ExtendedFileManager. A 0-day security exploit has been reported available as of today that exploits the functionality of these plugins to upload malicious files to your webspace, to execute foreign code.

Since no official patch has been made on the Xinha side, the Serendipity Team has released an updated version where those active Xinha-Plugins are no longer executable.

If you do not wish to apply the patch to the most recent Serendipity version 1.5.5 you can remove those files:

• htmlarea/contrib/php-xinha.php
• htmlarea/plugins/ExtendedFileManager/config.inc.php
• htmlarea/plugins/FormOperations/formmail.php
• htmlarea/plugins/HtmlTidy/html-tidy-logic.php
• htmlarea/plugins/ImageManager/config.inc.php
• htmlarea/plugins/InsertPicture/InsertPicture.php
• htmlarea/plugins/InsertSnippet/snippets.php
• htmlarea/plugins/SpellChecker/aspell_setup.php
• htmlarea/plugins/SpellChecker/spell-check-logic.php
• htmlarea/plugins/SuperClean/tidy.php

The provided functionality is usually not enabled by default, since Serendipity provides its own media file manager.

Future serendipity releases might re-enable these features, once they are safely patched.

To see if you are infected, please check the directories htmlarea/plugins/ImageManager/demo_images and htmlarea/plugins/ExtendedFileManager/demo_images to see if files have been uploaded there. If so, delete the files and check your webspace for other modified files, as well as change your passwords for FTP and SQL access. Please upgrade as soon as possible.

The release can be found on the Serendipity Download page. All serendipity versions from 1.4 to 1.6 (alpha) are affected. 1.6 alpha users should migrate to a recent SVN head checkout or tomorrow's snapshot.

Thanks a lot to Hauser & Wenz for reporting the issue. Serendipity fully acknowledges responsible full disclosure, non-reported 0-day exploits are helping nobody of true OpenSource spirit.

Quelle: http://blog.s9y.org/

Serendipity 1.5.4 has been released and addresses some minor bugfixes as well as a XSS security issue discovered and reported by High-Tech Bridge. The XSS is only exploitable though, if you are using the "Remember me" feature in the Serendipity backend to login. Thanks to the quick notification by the team we were able to fix the issue within 24 hours, as with all past security issues.

The XSS-issue can easily be patched by only replace the file include/functions_config.inc.php with the new file (link), or by applying this patch.

Other bugfixes that come with the new Serendipity 1.5.4 release are:

• Fix PHP 5.3.2 parse error in a file, thanks to fyremoon
• Fix SQL query statement for deleting a category, which on some DB types (SQlite) might not return "true" and thus not really delete the category.
• Include license output in plugin listing
• Fix escaping when using ImageMagick to create PDF-thumbnail images
• Add new template variable to feed*.tpl files to support new plugins like pubsubhubbub, so that plugins can embed data to the main XML element

The latest release can be found on our SourceForge repository and on the usual place on . To upgrade from any previous Serendipity version, simply extract and upload the new files to your server.

Quelle: blog.s9y.org

Serendipity 1.5.3 has been released, as a security-fix release with no other relevant changes.

A security issue has been discovered by Stefan Esser (http://www.sektioneins.com/index/index.html) during the course of the Month of PHP Security (http://www.php-security.org/). This issue was found in the WYSIWYG-Library Xinha (http://trac.xinha.org/) (that Serendipity uses), and affects certain plugins to Xinha (Linker, ImageManager, ExtendedFileManager, InsertSnippet) which can use a dynamic configuration loader. This loader allows to upload file with arbitrary PHP-Code and thus allows remote code execution, even when not logged in to the Xinha/Serendipity backend.

Due to the seriousness of this bug, we urge everyone to upgrade their installations. People who don't want the hassle of a full upgrade and are not using the mentioned Xinha-plugins actively, can simply delete the file htmlarea/contrib/php-xinha.php, which will render the mentioned plugins and exploits useless.

Thanks to Stefan Esser for reporting this issue to us, and making a quick bugfix possible.

Quelle: board.s9y.org / blog.s9y.org

Serendipity 1.5.2 has been released to address the outstanding issue of SQLite installations with Serendipity. Upgrading an earlier version of Serendipity prior to 1.5.1 to this version should work without any problems, fixing the database upgrades that were faulty in Serendipity 1.5.1. This is the same patch that has been advertised in the old blog posting

Users who had upgraded to Serendipity 1.5 already can fix problems by checking the database table 'serendipity' and make sure to insert a md5 hashed password, with hashtype=0.

SQLite users should backup their database file (a random file name ending in .db) before updating. For users of other database systems, the Serendipity 1.5.2 update does not contain any changes and can be left out.

(via blog.s9y.org)

Danke für die Hinweise das es eine neue Version von S9Y gibt (*sigh*), aber ich werde nicht aktualisieren. Nicht weil mir das Update zu kompliziert ist, sondern weil ich keine Lust habe 23 bzw 25M über ftp(1) auf den Webspace zu schaufeln. Abgesehen würde auch nach einem Update von S9Y noch immer der gleiche Schmarrn hier stehen. Danke. Ich habe fertig.

http://blog.s9y.org/archives/211-Serendipity-1.5-released.html

The Serendipity Team is proud to present the final release of Serendipity 1.5. While the earlier beta versions are proven to work fine for many people, it was finally time to package up a real release.

This version mainly addresses login security by changing our method how passwords are stored to use salted SHA1 checksums instead of plain MD5 checksums. This makes password retrieval (rainbow attacks, see special blog posting) through the database virtually impossible. Another thing is improved PHP 5.3 compatibility.

For users of our Bundled WYSIWYG-Editor Xinha users now have the ability to easily customize the appearance of this panel through a "my_custom.js" file inside the template directory (a draft of such a file can be found as fallback default in the htmlarea/ subdirectory).

One cool new feature for developers is that now also templates can register themselves inside the plugin API hooks to execute specific things, that don't require installation of an event plugin.

Other news include:

• new event API hooks
• fixed PDF thumbnail generation
• ability to auto-scroll on borders when Drag/Dropping plugins
• UTC server time zone support
• improvements in the Smarty functions to easier use Serendipity as a CMS for individual entry output.
• quicksearch improvements for doing a wildcard-search when too few searchresults were found on a fixed searchterm
• support for Typepad anti-spam server-checks, additionally to Akismet

Minor improvements since the 1.5-beta1 release:

• more PHP 5.3.0 compatibility improvements
• Disallow uploading any files that contain ".php." in the filename for extra security with Apache MimeMagic-Modules
• expermiental PDO:SQlite support
• usability improvements for the comment moderation panel (bottom-navigation, removed border increase)

The current release can be easily installed on any previous Serendipity installation. Just unpack, upload and visit your admin panel to perform possible database upgrades. Upon first login with an old password, Serendipity will store your old password in the new format - please be sure to make a backup of your Database prior to upgrading, and read the upgrade pointers on Upgrading Serendipity.


Have fun using Serendipity, and let us know on the Forums if you have any issues!

Ich werde demnächst das neue Release einspiele, aber wie man das ja von mir erwartet und auch gewohnt ist, gibts wieder 'n DATABASE_ERROR *sigh*

$Kunde hatte bereits einen Hosting-Paket (incl. PHP, MySQL und dem ganzen Zeug) und wollte anstelle der statischen Seiten dort was haben, wo registrierte Autoren Beiträge erstellen können. Dadurch das niemand wirklich Plan davon hatte, wurde entschieden einen freiberuflichen Webmaster zu bezahlen, der Vorschläge macht und die notwendige Software beschafft/installiert/konfiguriert. Der Webmaster hat dann eine (wirklich gute Zusammenfassung) verschiedener Möglichkeiten (verschiedene CMS, Wikis, Blogs, ..) erstellt und diese dem Kunden unterbreitet. Nach Absprache wurde dann S9Y vom Webmaster heruntergeladen, installiert, konfiguriert und eine kurze Einweisung gegeben. Für die Beratung, Installation, Konfiguration und die anschließende kurze Einweisung wurden dann 2500€ fällig.
Das sind grob geschätzt ~300€ in der Stunde dafür, das er S9Y installiert (ist ja auch so verdammt kompliziert), mehrere Autoren und Kategorien anlegt und kurz erklärt welche Bedeutung die Buttons - Vorschau - und - Speichern - haben. Scheisse.. ich bin eindeutig unterbezahlt!


Zur kurzen Erklärung: $Kunde war ein ortsansässiger Verein deren Mitglieder mir bekannt sind und denen ich neulich kurz bei einem kleinerem Problem geholfen hab. Allerdings bezweifle ich das der Webmaster hier im Umkreis noch irgendeinen Auftrag bekommt; zumindest nicht nachdem ich gesagt hab das ich das für eine Brotzeit und eine Schachtel Kippen gemacht hätte.