clemens/praxis-creutzburg-web
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Zugriffsluecken und SQL-Injection in intern/ und admin/ beheben

Browse Source 
Ergebnis der Durchsicht beider Bereiche (47 Dateien).

Patientendaten ohne Anmeldung abrufbar
--------------------------------------
admin/mailtemplate.php hatte keine Zugriffspruefung. Der Endpunkt
liefert gerenderte Mailvorlagen und damit Vorname, Nachname,
Geburtstag, Adresse, Medikamente, Anfragetext und den Anfragen-Link
mit dem hash. Ein anonymer POST wurde bis in die Datenbank verarbeitet
(geprueft mit ungueltiger templetid, es sind keine Daten geflossen).
Jetzt check_admin_user() mit HTTP 401. Ausserdem ging die
Exception-Meldung an den Aufrufer zurueck - sie geht jetzt ins Log.

intern/meineanfragen.php filterte beim Detailaufruf ausschliesslich
auf die anfrageid aus $_POST, ohne Bezug zum angemeldeten Benutzer -
und setzte sie unmaskiert ins SQL. Jeder registrierte Patient konnte
damit fremde Anfragen samt Geburtstag, Adresse und Telefonnummer
lesen. Jetzt Prepared Statement und zusaetzlich an die E-Mail des
angemeldeten Benutzers gebunden, wie in der Listenansicht derselben
Datei.

SQL-Injection
-------------
admin/togoadmin.php: 14 Abfragen bauten $_GET/$_POST direkt in das
SQL. Ganzzahlige Spalten bekommen einen (int)-Cast, damit die
umgebenden mysqli-Schleifen unveraendert bleiben; alle INSERT- und
UPDATE-Anweisungen mit Textwerten sind auf Prepared Statements
umgestellt. create_time dort jetzt per NOW() statt PHP-date().
Ein abschliessender Scan ueber intern/, admin/ und zeiterfassung/
findet keine verkettete Nutzereingabe in SQL mehr.

Zugriffspruefung ohne Wirkung
-----------------------------
admin/anrufbeantworter.php und admin/kalender.php riefen
check_admin_user() auf, werteten den Rueckgabewert aber nie aus. Die
Funktion liefert bei fehlender Anmeldung nur null, sie bricht nicht
ab - beide Seiten rendered fuer anonyme Besucher weiter. Daten flossen
nicht ab, aber die Oberflaeche war sichtbar. Jetzt gleiches Muster wie
admin/index.php.

Tokens ohne Ablauf
------------------
Die Tabelle securitytokens hatte keine Ablaufspalte: ein erbeutetes
Admin-Cookie galt unbegrenzt. Der Patientenbereich setzt 30 Tage.
securitytokensHatAblaufspalte() prueft die Spalte zur Laufzeit, damit
der Code vor und nach der Migration laeuft; admin/login.php setzt den
Ablauf beim Anlegen, check_admin_user() beruecksichtigt ihn beim
Lesen. Migration in admin/sql/. Die Cookie-Laufzeit war auf 365 Tage
gesetzt und ist jetzt deckungsgleich mit dem Token.

Entfernt
--------
admin/phpinfo.php lieferte ohne Anmeldung 102 KB Serverkonfiguration.
intern/admin.php, admin/admin.php sowie mailtemplatebody.php und
mailtemplatebetreff.php in beiden Verzeichnissen waren tot (falscher
relativer require-Pfad, HTTP 500) - die mailtemplate-Vorgaenger
enthielten zudem rohe SQL-Injection mit Patientendaten. Keine der
sechs Dateien wird irgendwo aufgerufen.
admin/sql war als leere Datei statt als Verzeichnis angelegt.

Kleinere Korrekturen
--------------------
intern/authentifizierung.php und admin/passwortzuruecksetzen.php
verglichen das Ergebnis von fetch() mit null statt false und pruefen
den Ablauf des Codes jetzt in SQL statt mit strtotime()/time() -
dieselbe Zeitzonenfalle wie bei den 2FA-Codes, hier in die harmlose
Richtung. Ein toter password_hash()-Aufruf auf einer nie gesetzten
Variablen ist entfallen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
clemens
2026-09-02 23:48:45 +02:00
co-authored by Claude Opus 5
parent 67b2314878
commit 864218c1b8
18 changed files with 238 additions and 259 deletions
Download Patch File Download Diff File Expand all files Collapse all files
intern/admin.php
-30
View File
@@ -1,30 +0,0 @@
<?php
session_start();
require_once("inc/config.inc.php");
require_once("inc/functions.inc.php");
//Überprüfe, dass der User eingeloggt ist
//Der Aufruf von check_user() muss in alle internen Seiten eingebaut sein
$user = check_user();
include("templates/header.inc.php");
if(check_admin()){
echo "Admin";
}else{
echo "nicht Admin";
}
?>
<?php
include("templates/footer.inc.php")
?>
intern/authentifizierung.php
+10 -4
View File
@@ -15,17 +15,22 @@ $userid = $_GET['userid'];
$code = $_GET['code'];
//Abfrage des Nutzers
$statement = $pdo->prepare("SELECT * FROM intern_users WHERE id = :userid");
$statement = $pdo->prepare("SELECT *, (passwortcode_time IS NOT NULL AND passwortcode_time > DATE_SUB(NOW(), INTERVAL 24 HOUR)) AS code_noch_gueltig FROM intern_users WHERE id = :userid");
$result = $statement->execute(array('userid' => $userid));
$user = $statement->fetch();
//Überprüfe dass ein Nutzer gefunden wurde und dieser auch ein Authentifizierungscode angefordert hat
if($user === null || $user['passwortcode'] === null) {
// fetch() liefert false und nicht null, wenn kein Benutzer gefunden wird -
// die alte Bedingung griff daher nie und lief mit false in den Array-Zugriff.
if(!$user || $user['passwortcode'] === null) {
error("Der Benutzer wurde nicht gefunden oder hat kein ein Authentifizierungscode angefordert.");
$showForm = false;
}
if($user['passwortcode_time'] === null || strtotime($user['passwortcode_time']) < (time()-24*3600) ) {
// Ablauf in SQL pruefen: passwortcode_time wird mit NOW() gesetzt (Uhr des
// DB-Servers), waehrend PHP auf dem Webserver in einer anderen Zeitzone
// laeuft. strtotime()/time() lag hier um genau diese Differenz daneben.
if(!$user['code_noch_gueltig']) {
error("Dein Code ist leider abgelaufen. Bitte benutze die Authentifizierungsfunktion erneut.");
$showForm = false;
}
@@ -51,7 +56,8 @@ if(check_mailreg()){
}elseif($showForm){
$passworthash = password_hash($passwort, PASSWORD_DEFAULT);
// (hier stand ein password_hash() auf einer nie gesetzten Variablen, dessen
// Ergebnis niemand benutzt hat - es warf nur eine Deprecation-Warnung)
$statement = $pdo->prepare("UPDATE intern_users SET mailreg='1', passwortcode = NULL, passwortcode_time = NULL WHERE id = :userid");
$result = $statement->execute(array('userid'=> $userid ));
intern/mailtemplatebetreff.php
-19
View File
@@ -1,19 +0,0 @@
<?php
include('../impfconfig.php');
// E-Mail Vorlage laden
$templetid = $_POST["templetid"];
$anfrageid = $_POST["anfrageid"];
$queryconfig = mysqli_query($con, "Select betreff,body,name FROM mailtemplates WHERE templetid='$templetid' ");
$rowconfig = mysqli_fetch_assoc($queryconfig);
$body = $rowconfig["body"];
$betreff = $rowconfig["betreff"];
$name = $rowconfig["name"];
$betreff = iconv('CP1252//IGNORE', 'UTF-8' , $betreff);
$body = iconv('CP1252//IGNORE', 'UTF-8' , $body);
echo $betreff;
?>
intern/mailtemplatebody.php
-60
View File
@@ -1,60 +0,0 @@
<?php
include('../impfconfig.php');
// E-Mail Vorlage laden
$templetid = $_POST["templetid"];
$anfrageid = $_POST["anfrageid"];
$queryconfig = mysqli_query($con, "Select betreff,body,name FROM mailtemplates WHERE templetid='$templetid' ");
$rowconfig = mysqli_fetch_assoc($queryconfig);
$body = $rowconfig["body"];
$betreff = $rowconfig["betreff"];
$name = $rowconfig["name"];
$sqlstring = "SELECT * FROM anfragen INNER JOIN user ON anfragen.personid = user.userid WHERE anfrageid ='" . $anfrageid . "'";
$query = mysqli_query($con,$sqlstring);
$rowtime = mysqli_fetch_assoc($query);
$vorname = $rowtime["vorname"];
$nachname = $rowtime["nachname"];
$geburtstag = $rowtime["geburtstag"];
$tele = $rowtime["tele"];
$plz = $rowtime["plz"];
$ort = $rowtime["ort"];
$strasse = $rowtime["strasse"];
$adresse = "$ort $plz, $stasse";
$empfaenger = $rowtime["mail"];
$hash = $rowtime["hash"];
$timeid = $rowtime["timeid"];
$userausgabe = $vorname . " " . $nachname;
$anfragenlogin = $anfragebestaetigung . "?id=" . $hash ;
$nachricht = $rowtime["nachricht"];
$medikamenteins = $rowtime["medikament1"];
$medikamentzwei = $rowtime["medikament2"];
$anforderungart = $rowtime["anforderungart"];
$sqlimpfstoffstring = "SELECT artname FROM anfrageart WHERE artid ='" . $anforderungart . "'";
$queryimpfstoff = mysqli_query($con,$sqlimpfstoffstring);
$rowimpf = mysqli_fetch_assoc($queryimpfstoff);
$rezeptart = $rowimpf["artname"];
$body = str_replace("%BENUTZERVORNAME%", $vorname, $body);
$body = str_replace("%BENUTZERNACHNAME%", $nachname, $body);
$body = str_replace("%BENUTZERGEBURTSTAG%", $geburtstag, $body);
$body = str_replace("%BENUTZERADRESSE%", $adresse, $body);
$body = str_replace("%TERMINZEITVORGABE%", $Zeitanzeige, $body);
$body = str_replace("%TERMINIMPFSTOFF%", $impfstofftext, $body);
$body = str_replace("%TERMINLOGIN%", $terminlogin, $body);
$body = str_replace("%WARTELISTELOGIN%", $wartelistelogin, $body);
$body = str_replace("%WARTELISTEIMPFSTOFF%", $impfstofftextwarte, $body);
$body = str_replace("%WARTELISTEIMPFANGEBOT%", $impfangebottext, $body);
$body = str_replace("%REZEPTART%", $rezeptart, $body);
$body = str_replace("%MEDIKAMENTNUMMEREINS%", $medikamenteins, $body);
$body = str_replace("%MEDIKAMENTNUMMERZWEI%", $medikamentzwei, $body);
$body = str_replace("%ANFRAGENACHRICHT%", $nachricht, $body);
$body = str_replace("%ANFRAGENLOGIN%", $anfragenlogin, $body);
$betreff = iconv('CP1252//IGNORE', 'UTF-8' , $betreff);
$body = iconv('CP1252//IGNORE', 'UTF-8' , $body);
echo $body;
?>
intern/meineanfragen.php
+18 -3
View File
@@ -54,10 +54,25 @@ include("templates/header.inc.php");
if(check_mailreg() && check_userdatenvorhanden() ){
if($_POST["aktion"] == "11"){
$sqlstring = "SELECT * FROM anfragen INNER JOIN persons ON anfragen.requester_person_id = persons.person_id INNER JOIN anfrageart ON anfragen.anforderungart = anfrageart.artid WHERE anfrageid='" . $_POST["anfrageid"] . "'";
$query = mysqli_query($con,$sqlstring);
// Zwei Fehler auf einmal: die anfrageid kam ungeprueft aus $_POST in das
// SQL, und gefiltert wurde ausschliesslich danach - jeder angemeldete
// Patient konnte so fremde Anfragen mitsamt Name, Geburtstag, Adresse
// und Telefonnummer abrufen. Jetzt Prepared Statement und zusaetzlich
// an die E-Mail des angemeldeten Benutzers gebunden, wie in der
// Listenansicht weiter unten.
$statementAnfrage = $pdo->prepare("
SELECT * FROM anfragen
INNER JOIN persons ON anfragen.requester_person_id = persons.person_id
INNER JOIN anfrageart ON anfragen.anforderungart = anfrageart.artid
WHERE anfragen.anfrageid = :anfrageid
AND persons.email = :email
");
$statementAnfrage->execute([
'anfrageid' => (int)($_POST["anfrageid"] ?? 0),
'email' => $user["email"]
]);
// Ticket und Antwort ansehen.
while ($row = $query->fetch_assoc()) {
while ($row = $statementAnfrage->fetch(PDO::FETCH_ASSOC)) {
$anfrageid = $row["anfrageid"];