Meta

Status message

wunderground fetch failed :/

Primary tabs

SA-CORE-2014-005/Drupalgeddon

Musste die Seite wegen Drupalgeddon vom Netz nehmen. Hatte definitv einen Account ohne Mailadresse von irgendeinem Angreifer in der Datenbank sowie einen entsprechenden Eintrag in user_roles. Letzterer glücklicherweise(?) mit ungültiger Role-ID, so dass der Account erstmal noch nicht priviligiert war. Die gängigen Audit-Tools haben nichts Verdächtiges ausgegeben.

Habe die ganze Codebasis inkl. aller Module in frischem Verzeichnis neu aufgesetzt. Anschliessend die alte Datenbank (jaja ich weiß...:/) bis auf user/user_roles/system/menu_router Tabellen wieder drübergebügelt.

Mehr kann ich jetzt erstmal nicht tun, strenggenommen muss sowieso der ganze Rootserver als kompromitiert angesehen werden, es laufen hier ja auch noch diverse andere D7-Installationen von denen mehrere ebenfalls erfolgreich angegriffen wurden.

Es besteht m.E. eine gewisse Wahrscheinlichkeit, dass die Dinge die man sehen konnte, der automatisierte Teil der Attacke zum Aufmachen der Drupal-Installationen war und Weiteres noch gar nicht passiert ist. Leider wird man da nie sicher sein können :/

Drupal 7

Nein, ich wurde nicht von chinesischen Cyberterroristen gehackt - ich habe mich nur entschlossen ein paar alte Zöpfe abzuschneiden und die Seite auf Drupal 7 zu "portieren".

Die Optik ist jetzt erstmal zweitrangig, deswegen habe ich zen als Theme genommen. Auch über die Navigation habe ich mir noch keine großen Gedanken gemacht.

Habe mich erstmal vorrangig um die Inhalte gekümmert, mein syncapi-Modul umgesetzt und mit dessen Hilfe Alles weitestgehend synchronisiert; die meisten URLs sollten noch funktionieren. gallery2 wird nicht mehr als "backend" für die Bilder benutzt, da das Projekt ziemlich tot ist und mit aktuellen PHP-Versionen bei jedem Page-Request zig Warnungen ins Log kippt. Der Einfachheit halber habe ich alle Bilder in die Files-Tabelle importiert, an die Nodes drangehängt und alle inline-[g2]-Tags im Textkörper durch entsprechende [media]-Tags des media-Moduls ersetzt.

Da ich nicht von einer Ordnerstruktur für die Bilder weg möchte, habe ich diese beim Import beibehalten. Darauf reagiert Drupal aber ziemlich ungut; es beharrt darauf, dass alle Bilder direkt unterhalb des files-Ordner liegen müssen. Deswegen musste ich gleich zum Einstand in den tiefsten Tiefen des core den "public://"-Streamwrapper hacken. Vielleicht werde ich das bei Gelegenheit nochmal ausführlicher beschreiben - vermutlich habe ich damit ein paar dicke Sicherheitslöcher aufgemacht. ;)

Das spaceweather-Modul habe ich gleich mal mitportiert, da es sowieso hauptsächlich aus views-Geraffel besteht. Das ist einer der Vorteile von views (wer hätte gedacht, dass ich das mal sage ;): man kann Module mit sehr überschaubarem Aufwand auf ein anderes Drupal-Release portieren, weil man sich hinter der views-API verstecken kann und von Drupal selber eigentlich nichts zu sehen bekommt.

Andere selbstgebaute Module habe ich noch nicht umgesetzt, deswegen funktioniert einiges gar nicht mehr oder noch nicht so wie ich mir das wünschen würde. Will jetzt erstmal abwarten, was mich am meisten ärgert und dann die wichtigsten Punkte so nach und nach lösen:

  • vokabular-felder
  • redirects f. umbenannte urls
  • primaerlinks
  • provisorischer messierstatus (mit views?)
  • exif
  • objectinfo
  • alben
  • autom. nodes für neue bilder anlegen
  • autotags für ordner
  • obsplan
  • front-page auto
  • kommentare und benutzer importieren
  • lightbox

Die alte Seite ist noch unter https://d6.parsecs.de/ zu erreichen...

Subscribe to Meta