ziemlich schlimmer coding stil...
und vulnerable insbesondere auch noch, gerade was XSS-Angriffe betrifft :).



Ganz davon abgesehenn, dass ich sowas hier absolut nicht nett finde



Was ich auch spannend finde ist, du filterst nirgendwo überhaupt auch nur einen hauch von XSS.
Ich kann mir sogar ein Alert als nicknamen verpassen, bei der Registration wie z.B.


Oder ich haue mir einen entsprechenden Snippet rein um einzelnen Administratoren die Cookies zu klauen, und sich mit den jeweiligen Sessions dann einzuloggen.

Zusätzlich dazu sollten Loginfelder ebenfalls von der Zeichenlänge begrenzt werden (wie auch andere Felder wegen DoS z.B. RUDY) und Passwörter nicht im Plaintext in der Datenbank hinterlegt werden.
Was ich dazu noch recht spannend finde sind deine Varchar-Felder in der Datenbank mit einer Länge von 3000 Zeichen.
slideshare.net/techdude/how-to-kill-mysql-performance


Dann bzgl. der Spalte "online", würde ich nicht anhand einer Spalte ausmachen ob der Benutzer gerade eingeloggt ist, denn spätestens wenn der Benutzer die
Seite verlässt ohne sich auszuloggen ist er daueronline.
Dein Datenbankschema ist auch extrem auf Redundanz und Anomalien gebaut und nicht normalisiert.

Der Versuch Fehler und unsaubere Programmierung durch das setzen von error_reporting auf null ist auch kein sonderlich eleganter Weg.
Genauso wie dein Tasks Ordner für jeden zugänglich ist, und sich spätestens in der File "sidebar.php" eine path disclosure finden lässt.

Dann um zurück zum Thema Coding-stil zu kommen, ist das ein ziemlich großer haufen spaghetti code und solche Punkte wie:



sind nicht sonderlich performant. Bessere Möglichkeit:
php.net/manual/de/control-structures.switch.php

Ich möchte dir damit nicht gegen das Bein treten, nehm es als Kritik auf, und versuch es bestmöglich zu optimieren.
So wie das ganze aktuell steht ganz davon abgesehen, dass es viele andere tolle kostenfreie Software gibt,
kann ich jedem von der produktiven Nutzung deines Scripts nur abraten, ganz klarer Punkt und so ziemlich der wichtigste ist,
dass dein Script eher einen Honeypot darstellt als etwas tatsächlich nützliches.

Kann dir daher echt nur ans Herz legen, das ordentlich durchzuschrubben und aufzuräumen, bevor du das mit anderen ernsthaft teilen möchtest.

OpenSource heißt ich kann den Code direkt irgendwo einsehen bzw das Projekt laden, aber ich sehe hiervon nichts.

Schau dir das Ende vom Post genauer an, da findest du ein Zip Archiv namens "ClanSystem.zip".

Ah, danke, hab ich nicht gesehen.

Marcel1997 schrieb:

Hallo,
erstmal vielen dank für deine konstruktive Kritik,
Wie ich im Start post bereits erwähnt habe, ist dies ein kleines älteres Projekt was ich in sehr kurzer Zeit
eher zweckmäßig erstellt habe. Ich hatte mir schon vorgenommen alles nochmal zu überarbeiten, jedoch
habe ich grade wenig Zeit dazu.

Mag sein,
aber
dann würde ich das auch nicht zum Download anbieten, wenn die Software
einfach nur fahrlässig programmiert wurde. Denn letztendes ist es das.

Marcel1997 schrieb:

Außerdem hast du dir wahrscheinlich nicht alles angeschaut, denn z.B.
das online System loggt jeden User automatisch nach 10 min aus, wenn dieser die Seite ohne Logout verlässt.

Stimmt,
ich habe mir die "CMS" nicht genauer angesehen. Allerdings in dem Sinne
so "automatisch" loggt dein System einen User nicht aus, es Bedarf nach
wie vor einen Request der Webseite, wenn es denn so ist. Es ist kein
sauberer Weg. Ein gutes Beispiel, wie es in einigen CMS's vorzufinden
ist, werden die Sessions in einer weiteren Tabelle hinterlegt
(Memory-Tabelle). Tatsächlich "autom." würde es erfolgen, wenn ein
entsprechender cronjob gerade in deinem Falle prüfen würde, ob der user
denn tatsächlich noch eingeloggt ist. Wobei ich auch hier keinen
Anhaltspunkt in deinem Datenbankschema sehe. Den letzten Zeitpunkt vom
Login dafür zu nehmen, und daraus den Endschluss zu ziehen "ja hier der
user ist niemals länger als 10 minuten auf der seite", würde ich auch
nicht diese Annahme weit hoch setzen.

Marcel1997 schrieb:

Und zu der Clanliste, dies soll lediglich dazu dienen, mir zu zeigen wer sich das System runterlädt und installiert

Auch
hier ohne eine entsprechende Einwilligung eines (End-)benutzers sehe
ich ein Problem bei den getzlichen Datenschutzbestimmungen, da du Daten
einholst, ohne ein entsprechendes Recht dazu erhalten zu haben.

dejure.org/gesetze/BDSG/4.html

Der
Artikel richtet sich auf personenbezogene Daten. Warum ich diesbzgl.
eine Domain als personenbezogene Daten sehe? -> Contact-Handler.

Wäre ich ernsthaft sehr vorsichtig..

Marcel1997 schrieb:

EDIT: zum Code style, ja ich weis das das recht ähhhmm "unübersichtlich" ist...
Und außerdem kann man das System durchaus benutzen und es bietet auch viele nützliche Funktionen wie ich finde...

de.wikipedia.org/wiki/Normalisierung_(Datenbank)
php-coding-standard.de/mhtml/

tut
mir leid, aber dass es hier um nur "unübersichtlichkeit" geht ist
bullshit. Ich bin was das Thema betrifft sehr pingelig. Also unter
"unübersichtlichkeit" verstehe ich falsches Einrücken, oder ähnliches.
Aber ganz im ernst, sicher nicht eine wesentliche fahrlässigkeit und fehlende Kontrollroutinen.

Beschäftige dich mal mit Template Engines, damit dürfte die Design Anpassung leichter funktionieren. Außerdem ist es besser wartbar.

Marcel1997 schrieb:

Deshalb ist mein Projekt ja open Source. Damit Leute wie du Fehler und Sicherheitslücken finde, und man die ausbessern kann.

Recherchiere doch bitte einmal nach der Bedeutung von Opensource. Insbesondere heißt opensource nicht : "andere schreiben die software für mich".

Marcel1997 schrieb:

Der User könnte 24 Std. auf ein und der selben seit sein, ohne neuzuladen. Und ohne das er abgemeldet wird, weil ein Iframe mit dazugehörigem Script alle 9.30 min die letzte Aktivität (Zeitstempel) wieder aktualisiert

Nette Idee, aber auch da habe ich den Eindruck, dass dich die performanceoptimierte Programmierung kein Stück juckt. Nehmen wir ein Beispiel-Szenario:

Dein Clan-Portal ist super populär, du hast täglich 50 durchschnittliche Besucher pro Sekunde, über den Tag verteilt, sind einige "daueronline", z.B. weil sie ihren Rechner nicht herunterfahren.
Welche Folge hätte das für den Webserver? Ein gewollter Destributed Denial of Service ist schon eine sehr spaßige Sache.

Marcel1997 schrieb:

Außerdem habe ich auf Sachen wie Cronjobs verzichtet um die Serverauslastung niedrig zu halten. Weil wieso alle 10 min einen Cronjob laufen lasse, wenn jeder User beim
öffnen einer Seite selbst diesen Job übernehmen kann.

Danke, dass du beherzt meine Tipps die ich dir dazu gebe, ignorierst (Session-Tabelle -> Timestamp -> MEMORY-Table und etc.). Die einfachste Lösung wäre eine Software vernünftig zu schreiben, so wie es z.B. von einem Fachinformatiker für Anwendungsentwicklung erwartet wird (Zukunftsorientiert, Wartbarkeit, Modifizierbarkeit, Performance und etc.).

de.wikipedia.org/wiki/FURPS

Ich war der Meinung schon möglichst direkt gewesen zu sein, als ich sagte, dass ein Pflaster für etwas keine Lösung ist (-> Bullshit).
Spätestens, wenn du deine Datenbank vernünftig modeliert hättest, wäre dir aufgefallen, dass es durch aus sehr wohl gute Lösungen gibt sowas abzubilden. Tipp dazu: Schau dir bestehende Systeme an.

und nochmal der sicherheitshalber wieder ein kleines Beispiel blog.thomasv.nl/2013/01/cakeph…sessions-in-the-database/

php.net/manual/en/class.sessionhandler.php

Das sind so die grundlegenden Punkte, ich könnte noch was zu den Weiterleitungen für den Login bzgl. des Javascripts sagen, aber ich denke den Rest dazu kann man sich denken... Scriptblocker sind tolle Sachen.

Letztenendlich, sehe ich das größte Problem neben den Sicherheitslücken an dem Datenbankschema, ich denke, bei einer geringfügigen Anzahl an Usern wird es 1. nach weniger Zeit zu Annomalien kommen und und Redudanz erwartet das Tabellenschema sowieso, nichts entspricht auch nur irgend einer Normalform / Standard. Aber das sagte ich ja bereits in meinem Post mit der Verlinkung zu "Howto kill mysql performance".

Es gibt mhh.. ich drücke mich vorsichtig aus "einen enormen" Optimierungsbedarf.

de.wikipedia.org/wiki/ISO_9126

und nochmal am Rande (natürlich unauffällig):
tinohempel.de/info/info/datenbank/normalisierung.htm