Mobirise Blöcke mit PHP

[Volker]

Huhu zusammen

Jetzt, wo ich weiß wie man Blöcke mit PHP in Mobirise veröffentlicht, hau ich natürlich alles raus

Ich fang jetzt erst richtig an

Block 1: Ein Conter Block (Besucher Zähler)
Block 2: Ein Voting Block
Block 3: Sterne Bewertung
Block 4: Download Block mit Zähler und Größenangabe
Block 5: Chat Block
Block 6: Linkliste

Da kommt jetzt eine ganze Reihe ....

Demo Seite: https://www.niederastroth.de/0ical/

[Tommy Herrmann]

"Prima" wird angenommen - "Geht so" nicht

[Volker]

Du darfst nur einmal voten

Der Button nochmal voten war nur für mich zum testen

Im Block, den man ja auch jetzt downloaden kann ist der nicht drin

[Tommy Herrmann]

ah - das wollte ich nämlich gerade fragen - denn den hatte ich verwendet

[Tommy Herrmann]

sage mal, wenn ich den "Plugins" Ordner aus der mbrext entferne und die Dateien händisch hochlade, sollte das doch auch gehen ...

Ich sträube mich nämlich generell dagegen PHP-Skripte ungelesen auf meinen Server zu publizieren - für mich ist das ein "NO GO" und das sollte es eigentlich für jeden sein.

[Tommy Herrmann]

was ist denn ein "Conter Block" ?? Meinst Du den Block unten auf der Seite? Einen "Counter Block"? Zählt der die Abstimmungen oder was?

[Volker]

Ja kannst du auch machen. Aber ich glaub der Laie nicht. Ich bau trotzdem weiter komplette Blöcke. Ich denke die User die mich kennen, wissen mittlerweile das ich keinen Scheiß baue -

Was soll an dem voting script falsch sein oder gefährlich ? Oder am Counter ?
Du bist manchmal auch etwas zu kritisch

[Volker]

was ist denn ein "Conter Block" ?? Meinst Du den Block unten auf der Seite? Einen "Counter Block"? Zählt der die Abstimmungen oder was?

Ne der Zählt Besucher

[Tommy Herrmann]

Nichts soll falsch sein - ich vertraue Dir natürlich auch.

Aber man tut ja nun normalerweise alles dafür keine PHP-Skripte, die man nicht ganz genau überprüft hat, auf seinen Server zu packen. Schließlich muss ja in einem Paket nicht das drinnen sein, was draußen drauf steht. Das ist doch irre gefährlich

Ich werde das sicherlich dann auch mal machen, aber wer Dich nicht kennt, wird da eventuell skeptisch sein. So meine ich das.

[Volker]

Klar, kann jeder in die PHP Scripte gucken. Die keine mbrext auslesen können, dann eben wenn die scripte auf dem Server liegen.

Aber drüber mache ich mir jetzt keine Gedanken - ich hau raus

Wer will nutzt die Dinger - wer Angst hat ich plünder sein Konto lässt es

Ich bin jetzt eh nicht mehr zu bremsen (siehe oben)

4 Blöcke mit PHP online und brauchbar

[Tommy Herrmann]

... also ich baue mir da mal ein Prüftool - mal sehen ob das geht

[Tommy Herrmann]

Das ist nur ein Tool von ChatGPT - erstellt in 34 Sekunden. Hat auch gleich gesagt wie man den Generator auf die zusätzlichen PHP-Dateien erweitert - was ich aber gar nicht machen will.



Probiere mal

https://www.mobirise-tutorials.com/Mobi ... uefer.html


Sie kann .mbrext-Dateien direkt im Browser einlesen und zeigt dann unter anderem:


- komplette Dateiliste
- vorhandene plugins/plugin.json
- Publish-Ziele wie assets/.../datei.php
- PHP-, JS-, HTML-, JSON-, CSS-, LESS-Dateien als Quelltext
- Warnungen bei auffälligen Begriffen
- einfachen Risiko-Wert von 0 bis 100
- kopierbaren Prüfbericht


Geprüft wird unter anderem auf Begriffe wie:


exec
shell_exec
system
passthru
eval
base64_decode
file_put_contents
unlink
move_uploaded_file
$_FILES
$_POST
$_GET
$_REQUEST
curl_exec
mail
PDO / SQLite / mysqli




Zum Vergrößern zuerst klicken und dann mit rechter Maustaste auf Grafik und in neuem Tab öffnen:

Datei: vn-voting.mbrext
Größe: 39.4 KB
Risiko-Wert: 100/100
Dateien: 9
Warnungen: 8

Publish-Ziele:
- vn-voting: vn-voting/vote.php -> assets/vn-voting/vote.php

Warnungen:
- [hoch] plugins/plugin.json: Publish-Datei – Wird publiziert: vn-voting/vote.php → assets/vn-voting/vote.php
- [hoch] plugins/vn-voting/vote.php: Kritische Dateiendung – Diese Datei kann auf einem Server ausführbar oder sicherheitsrelevant sein.
- [mittel] plugins/vn-voting/vote.php: Datei schreiben – Gefunden: file_put_contents(
- [mittel] plugins/vn-voting/vote.php: POST/GET/REQUEST – Gefunden: $_GET, $_SERVER, $_POST
- [niedrig] app.js: LocalStorage/Cookie – Gefunden: localStorage
- [niedrig] app.js: Fetch/XHR – Gefunden: fetch(, XMLHttpRequest
- [niedrig] components/vn-voting/template.html: LocalStorage/Cookie – Gefunden: localStorage
- [niedrig] components/vn-voting/template.html: Fetch/XHR – Gefunden: fetch(

Dateiliste:
- components/vn-voting/style.less (2.5 KB)
- components/vn-voting/thumb.png (21.5 KB)
- components/vn-voting/template.html (9.4 KB)
- params.json (432 B)
- cover.png (17.6 KB)
- app.js (5.7 KB)
- splash.html (646 B)
- plugins/vn-voting/vote.php (1.7 KB)
- plugins/plugin.json (262 B)

[Tommy Herrmann]

… großartig - vielen Dank. Das ist praktisch für einen ersten Eindruck was man sich da hochladen würde.

Sehr gerne, Tommy — genau dafür ist sie gedacht: nicht als endgültiger Sicherheits-Scanner, sondern als schneller Blick in die .mbrext, bevor man sie Mobirise anvertraut.
Gerade bei diesem neuen plugins-Mechanismus ist das sinnvoll, weil man sonst leicht übersieht, dass beim Veröffentlichen plötzlich z. B. eine PHP-Datei nach:

Code: Alles auswählen

assets/irgendein-plugin/datei.php

auf den Server kopiert wird.
So kannst Du wenigstens vorher sehen:

Code: Alles auswählen

Enthält die Erweiterung PHP?
Wohin wird etwas publiziert?
Wird etwas geschrieben oder gelöscht?
Werden POST/GET/FILES verwendet?
Sind auffällige Funktionen enthalten?

Für Deinen Zweck ist das schon ein guter Schutz gegen „versteckte Überraschungen“.

[Volker]

Hübsches Teil

Habs probiert. Klar die meckert bei jeder PHP - aber dann kann der User ja bei Dir prüfen ob meine mbrext ok ist.

Darf ich die auch haben ? Bau ich auf meiner Seite ein

[Tommy Herrmann]

ja klar - ich baue aber gerade noch daran.

Mussst dann meinen Link oben entfernen und Deinen rein packen. Wenn fertig, sende ich ZIP zum Download via "PN".

[Volker]

Ne ich lass deinen Link drin, ist ja von dir Sicherheits Cheffe

[Tommy Herrmann]

Kommt gleich - kannst machen wie Du willst - ist mir egal.

Gib mir hier Bescheid, wenn Du den Download hast.

[Volker]

Es sind jetzt schon 5 Blöcke online zum testen :-)

Demo Seite: https://www.niederastroth.de/0ical/

[Tommy Herrmann]

also ich sehe 8 - oder wie oder was ???

[Volker]

Ja 8 insgesamt, aber die sind ja nicht neu, Gästebuch, ical und Formulare hab ich ja schon gezeigt
Und außerdem hab ich auch eine Rechenschwäche