Install wizard has some problems

• 報告者: minahito
• 担当者: (未割り当て)
• チケットの種類: 機能リクエスト
• 状況: オープン
• コンポーネント: (未割り当て)
• マイルストーン: (未割り当て)
• 優先度: 5 - 中
• 重要度: 5 - 中
• 解決法: なし
• ファイル: なし

詳細 返信

Reported by okuhiki.

If users doesn't remove install directory form the
server after installation, the current install wizard
has some problems on security. Because attackers can
get informations of mainfile.php thorugh initial values
that the wizard shows.

And...

A bystander can steal security informations which are
SALT, salt from the confirm page by looking at the screen.

[JA]
okuhikiさんによって提案されました。

もしユーザーがインストール終了後にインストールディレク
トリを取り除かなかった場合、現在のインストールウィザー
ドはセキュリティ上にいくらかの問題を持っています。なぜ
なら、攻撃者はウィザードが表示する初期値を通じて
mainfile.php から情報を得ることができるためです。

また...

傍観する第三者は画面を（背後から）直接盗み見することに
よって、SALTなどの保安情報を確認画面から取得することが
可能です。

チケットの履歴 (1 件中 1 件表示)

2007-02-26 04:15 更新者: gigamaster

コメント 返信

Logged In: YES
user_id=23046

Hi,

I was testing the last cvs snapshot but it doesn't work at all.

1. The install wizard still a long way (14 steps)
2. When the install process is finish, the system is blocked
until user delete folder 'install'

security=ok!
usability=no!

3. After manully delete folder 'install', i try to install a
module but it results in a 'blank page'.


It'a a cvs snapshot, right, but i'm pointing out these
issues with end-user experience in mind.
And try to translate the end-user experience into an
equation (forum thread)

http://xoopscube.org/modules/xhnewbb/viewtopic.php?topic_id=221&viewmode=flat


Maybe a programmer or developer can add a function with the
'message' to delete 'install' :


function deleteInstall($folderInstall) {
if (file_exists($folderInstall)) {
chmod($folderInstall,0777);

and by the way maybe also chmod necessary files and folders:

chmod("mainfile.php", 0444);
chmod("cache", 0755);
chmod("uploads", 0755);
chmod("templates_c", 0755)

if (is_dir($folderInstall)) {

open dir and remove/delete files and folders.
else, go to control panel or front page.