VN Upload Block

[Volker]

Hallo zusammen,

wer es verfolgt, weiß das ich Blöcke bauen die PHP Scripte enthalten
Es gibt ja bereits einige, die auch Mails versenden über SMTP. Damit man seine SMTP Daten eben nicht per Hand in jedes Script einbauen muss, habe ich das Zentralisiert in Mobirise implementiert. Dort kann man für jede Anwendung von mir, die SMTP Daten benötigt, diese einmalig eintragen. Jeder Block nutzt dann diese SMTP Daten.

So, und nun der nächste Block, der auch diese Daten nutzt

Ein Upload Block. Der User kann Daten hoch laden. Was und wie Groß die Datei sein darf wird im Zahnrad eingestellt.
Der User muss erst seine E-Mail bestätigen bevor der Upload entgültig auf den Server geladen wird und der Admin eine Mail als Info bekommt, das user xx was hoch geladen hat.

Der Bestätigungs Lonk läuft nach 48 Stunden ab. Dann ist der wirkungslos

[Tommy Herrmann]

Moin,

und ich hätte gerne gewusst, durch welche Anwendung denn diese SMTP Einstellungen in den Site-Einstellungen von Mobirise überhaupt installiert werden.

[Volker]

Moin Tommy,

Das macht im Moment

Gästebuch
Kontaktformular
VN Upload
VN Formrender
Und in Zukunft eventuell auch andere - eben alle die SMTP benötigen

Wenn Du nur eine von den oben genannten Anwendungen installierst, hast Du den SMTP EIntrag im Menü.
Solltest Du dann weitere Anwendungen installieren bleibt es bei dem einem SMTP Eintrag, der dann auch für die nächste Anwendung genutzt wird.

[Tommy Herrmann]

ah - OK - das muss man aber auch wissen, ansonsten sucht man nach einer separaten Installation für diese zusätzliche SMTP Anwendung.

Ich persönlich fände es nach wie vor besser, wenn diese Einträge in einer jeweils zur Anwendung dazugehörigen config.php oder installation.php Datei gemacht würden - mit eindeutigen Kommentaren was wohin gehört, so wie es sonst gemacht wurde.

Dort im Menü von Mobirise ist das meiner Ansicht nach der vollkommen falsche Platz.

[Volker]

Reichen meine Erklär Videos nicht ?
Ich beschreibe doch immer alles und zeige wie es geht

Ich schreibe das jetzt noch zu den einzelen Blöcken dazu, das man SMTP einamlig eingeben muss und dann bei allen weiteren Blöcken nutzen kann.

[Tommy Herrmann]

Volker,

nicht alle schauen sich deine Videos an (ich muss dieses spezielle wohl verpasst haben), und nach einigen Wochen sind sie oft schon wieder vergessen. Deshalb sind Videos zwar gut für einen ersten Eindruck, aber für einen späteren Einbau wenig geeignet.

[Volker]

Dort im Menü von Mobirise ist das meiner Ansicht nach der vollkommen falsche Platz.

Sehe ich anders Tommy. Genau DA gehört es hin. Sicher und für alle Anwendungen nur einmal einzutragen.
Die PHP Dateien liegen doch nach Veröffentlichen direkt auf dem Server. Der User soll da nichts runter laden, editieren und wieder hoch laden müssen. Das ist doch Quatsch. Dann brauch ich keine Blöcke bauen die PHP inkl. haben, sondern wie gehabt alles per FTP manuell hoch laden. Das ist ein Rückschritt für mich Tommy.

Ich sage es gerne nochmal !!! Wer mir nicht zutraut das ich korrekte Anwendungen veröffentliche, soll einfach die Finger davon weg lassen. Aber ich werde genau so weiter Blöcke bauen

[Tommy Herrmann]

Volker,

ich kann dazu auch nur meine Meinung sagen - und die ist eben anders.

Der Normalfall ist ja nicht, dass User sich ein Dutzend Anwendungen von VN einbauen, bei denen dann dieser SMTP Eintrag genutzt wird - der Normalfall ist eher eine Anwendung oder vielleicht auch noch zwei, dazu braucht es doch keine Generaleintrag in den Site Einstellungen von Mobirise, der dann für ewig da herum geistert, die wahrscheinlich dann auch noch bei einem Update von Mobirise überschrieben werden.

Abgesehen davon, dass das wieder ein ziemlich massiver Eingriff in die Software ist und man dadurch ja, wie mehrfach berichtet, den Support von Mobirise verliert. Das sollte Mobirise also nicht sehen, ansonsten gibt es keinen Support mehr.

Das sind so meine Überlegungen.

... aber jetzt muss ich erst einmal zur Therapie.

[Volker]

Ja Tommy
sobald du eine Anwendung eines 3. Anbieters einbaust ist der support futsch - wissen wir doch und alle - die was Importieren wissen das auch, weil es steht ja groß da.

Meine VN-Block Galerie ist schon tödlich Support von Mobirise futsch

Man kann aber auch jede Anwendung wieder deinstallieren, bzw. löschen

[Tommy Herrmann]

Na ja - die "VN Galerie" ist doch nur ein Link (mehr oder weniger).

Ich werde aus diesem Grund auch darauf verzichten und somit auf sämtliche Anwendungen, die auf SMTP zurückgreifen. Das ist schon etwas schade.

[Volker]

Tommy,

ich werde jetzt nicht alles ändern um das Eintragen der SMTP Daten von Hand zu ermöglichen. Man kann doch die Blöcke Rückstandsfrei auch wieder löschen Wenn ich Support von Mobirise brauche ( was noch nie passiert ist) lösch ich alle Witsec, Zend und VN Sachen vorher und zeig denen mein nacktes Mobirise Wo ist da das Problem ?

[Volker]

Wer nichts in die SMTP Maske in Mobirise eingeben möchte, kann das auch gerne frei lassen und wie folgt vorgehen.

Block rein ziehen, veröffentlichen und dann per FTP die config.php editieren - da sind ja die SMTP Daten hinterlegt. Kann man ja auch direkt auf dem Server editieren .

Hier mal die PHP Scripte die automatisch mit hoch geladen werden :

upload dateien.PNG (4.48 KiB) 320 mal betrachtet

[Volker]

Der Normalfall ist ja nicht, dass User sich ein Dutzend Anwendungen von VN einbauen, bei denen dann dieser SMTP Eintrag genutzt wird - der Normalfall ist eher eine Anwendung oder vielleicht auch noch zwei, dazu braucht es doch keine Generaleintrag in den Site Einstellungen von Mobirise, der dann für ewig da herum geistert, die wahrscheinlich dann auch noch bei einem Update von Mobirise überschrieben werden.

Richtig Tommy !
Wer nur z.B. nur das Gästebuch nimmt, hat den SMTP ja drin. Wer nur VN Upload nimmt hat den auch. Wer aber beide nimmt hat nur einen SMTP drin - clever gell ?
Das ist eben überlegtes Design ala Volker

So lange Mobirise mit der Chromium-Engine läuft werden auch meine Einträge da stehen Auch nach einem Mobirise Update auf eine neue Version. Glaube nicht das die das ändern werden - und wenn, dann ist halt so und ich schaue wie ich es update

Und nochmal zum Thema Eingriff in die Software:
Mobiwise, Witsec und Zen machen das - also darf der kleine Volker das auch

[Tommy Herrmann]

Das ist doch eine gute Alternative

Wer nur z.B. nur das Gästebuch nimmt, hat den SMTP ja drin. Wer nur VN Upload nimmt hat den auch. Wer aber beide nimmt hat nur einen SMTP drin - clever gell ? Das ist eben überlegtes Design ala Volker

Na ja - solange man immer die gleiche E-Mail-Adresse verwendet. Ich habe aber so ungefähr 50 E-Mail Adressen, dann nutzt mir dieses Teil gar nichts. Ich verwende ja nun nicht zwingend für die Mails vom Gästebuch die gleiche Adressse wie die vom Formular (mache ich tatsächlich nicht). Nicht so ganz zu Ende überlegt


Was Witsec & Co. tun, rechtfertigt nicht, es ihnen gleichzutun. Gerade ihre Anwendungen – etwa der kostenlose Code-Editor – sind das eigentliche Problem und machen die Situation erst so gravierend. Von „dürfen“ kann hier also keine Rede sein; sie handeln einfach.

[Volker]

Ähm Tomny,
Wir reden von der smtp mail ? Die ist bei mir immer die selbe. Die mail wo die mails hin gehen werden doch im zahrad eingestellt und muss doch nicht die sein die im smtp steht

[Volker]

Nochmal was Grundsätzliches zum Thema SMTP Versand:

Der SMTP Versand geht über den SPTP Server, egal ob der bei Euch auf der Webseite vón Eurer Email ist oder von web.de oder gmx oder oder. Spielt keine Rolle, ihr müsst halt eine Email beim jeweiligen SMTP Anbieter haben. Die Mails die die Blöcke senden gehen NICHT an die E´Mail in den SMTP Einstellungen !! Die gehen an die Mail die Ihr im Zahnrad angebet !

Beim Upload Block bekommt der User ja eine Mail, da würde dann als Absender, wenn ihr web.de oder gmx nutzt auch die mail als Absender stehen. Sieht also Kacke aus und sollte nur gemacht werden wenn die Mails nur an Euch gehen, wie beim GB z.B. da spielts ja keine Rolle

Kleiner Tipp: Ich persönlcih habe eine Extra SMTP Mail die ich immer nutze und nur dafür. Dann kann man auch, wenn man den eigenen SMTP Server nutzt, jede xbeliebiege Email Adresse als Absender eintragen ( also alles was xxx@niederastroth.de ist ist zulässig und die muss es auch nicht zwangsläufig geben, also ein Konto dafür. Ich habe z.B. service@ test@ usw. aber diese E-Mails gibt es gar nicht - verstanden soweit ? Ich denke

[Volker]

Das ist doch eine gute Alternative

Das ist aber keine wirkliche - weil beim nächsten publish wieder alles überschrieben würde - Das kann ich aber so ändnern, das wenn SMTP leer ist die config.php da nicht bleer überschrieben wird, wenn Daten da sind. Kann ich machen Tommy als Extra Tommy Version

[Volker]

So,
die aktuelle Version von VN Upload hat diesen Service jetzt schon eingebaut. Sobald config.php Daten hat werden die bei erneuten Veröffentlichen nicht überschrieben. So kann wer will die SMTP Daten per Hand eingeben

PS: Gilt jetzt auch für den VN Formrender

Kurz gesagt: Es ist kein akutes Sicherheitsloch, aber Tommys Instinkt "ich will meine echten Zugangsdaten nicht in einer Software-Konfigurationsdatei rumliegen haben, die ich nicht komplett kontrolliere" ist technisch nachvollziehbar – gerade Punkt 1 (lokale Speicherung) ist der eigentlich unterschätzte Teil.

Auf Deutsch: wer die project.mobirise auf dem Server lässt handelt (aber sowieso) grob fahrlässig. Da ist immer alles drin und kann nur per htaccess geschützt werden oder man löscht sie einfach - aber das ist ja schon immer so gewesen

Aber für alle, die die lieber auf dem Server haben (so wie ich ) hier eine .htaccess die diese Datei schützt:

Code: Alles auswählen

# Blockiert jeglichen Web-Zugriff auf Mobirise-Projektdateien (*.mobirise),
# falls die mal versehentlich mit hochgeladen werden - da stehen SMTP-
# Passwörter & andere Zugangsdaten im Klartext drin.

<IfModule mod_authz_core.c>
    <FilesMatch "\.mobirise$">
        Require all denied
    </FilesMatch>
</IfModule>
<IfModule !mod_authz_core.c>
    <FilesMatch "\.mobirise$">
        Order allow,deny
        Deny from all
    </FilesMatch>
</IfModule>

[Tommy Herrmann]

Also Moment mal Volker - so ist das aber gar nicht zu verstehen.

Die Projektdatei "porject.mobirise" soll sogar auf den Server liegen eben genau aus Sicherheitsgründen, damit ein verlorenes Projekt auch über den Server wiederhergestellt werden kann.

Das ist also auf keinen Fall "grob fahrlässig" - im Gegenteil - das ist so gewollt und gedacht von Mobirise. Es ist eher ein Manko, wenn man diese Datei am Server löscht. Sie ist z.B. dann von unschätzbarem Wert, wenn sich ein Computer mit einem Mal verabschiedet und komplett kaputt ist. Dann kann man mit dieser Datei am Server seine Webseite an einem neuen Computer wieder herstellen. Das ist schon ganz oft für manchen User die einzige Rettung gewesen.

Genau deswegen und nur deswegen wird diese Datei ja auch von Mobirise auf den Server kopiert - und kommt dort nicht "versehentlich" sondern ganz bewusst hin, wie Du Dich gerade ausgedrückt hast

Daher haben dort sicherheitsrelevante Einträge NIEMALS etwa verloren - auch dann nicht, wenn man die Projektdatei über eine .htaccess schützt, was ja gar nicht alle Provider zulassen.

Mobirise selbst hat auch diesen Fehler mit seinem eingebauten Passwortschutz gemacht und publiziert aus diesem Grund dann die Projektdatei erst gar nicht mit auf den Server, das verhindert dann aber nicht, dass manche Leute, die mit einem externen FTP-Programm wie "FileZilla" publizieren, diese Datei dennoch ungeschützt am Server haben, weil diese ja immer auch lokal angelegt wird.

Mit anderen Worten - personenbezogene Daten haben in der Projektdatei nichts verloren, egal ob diese gesichert wird oder nicht. Meine ist auch am Server gesichert - das ist aber eine Sicherheitslücke - und meine ist nur dort, weil sie keine solchen Daten enthält.

[Volker]

Ich werde einen Sicherheits Hinweis schreiben und auch ein Video dazu machen.
Ich persönlich habe früher nur mit einen FTP Programm die Seiten hoch geladen und niemals die prject Datei mit hoch geladen. Erst seit dem ich hier diese Blöcke baue publliziere ich mit Mobirise - um eben immer auch alles zu testen.

Das Argument das man bei Verlust oder Beschädigung die Datei auf dem Server hat ist OK, aber ganz ehrlich? Ich speicher die IMMER auf einer externen Platte um eben bei Verlust alles parat zu haben. Das Thema project.mobirise hatten wir doch schon seit Jahren Tommy, da liegt eben wirklich alles offen drin und jeder kann da rein gucken.

Der Schutz den ich oben gepostet habe sollte auf 90% der Webserver laufen. Ich werde trotzdem daran festhalten die Blöcke genau so zu gestalten, auch wenn die Daten zu lesen sind. Wie man dem entgegnet habe ich ja bereits gezeigt und geschrieben. Den Warnhinweis (gebe ich zu) habe ich vergessen. Ich denke halt manchmal auch nicht an alles