ScriptBlogger

Zwei recht nützliche Online-Tools, um mal schnell HTML- und CSS-Code zu formatieren:

HTML Beautifier

CSS-Formatierer

Weiter geht's mit der Übersetzungsaktion. Das Datei-Download-Script (文件下载) und das Kurz-URL-Script (简短网址) gibt's jetzt auch auf Chinesisch, komplett mit Dokumentation. Als nächstes ist das Wegwerf-E-Mail-Script dran.

Aus dem Support:

This works perfect for me, God bless the creators of [Schedule Organizer] for making this such a versatile app.

:-)

Uups, Geburtstag verpasst. :-o

Interessante Ortsnamen unserer Kunden mal wieder.

PLZ + Stadt = Niceville
Land = USA
Staat / Provinz = Florida

PLZ vergessen unmöglich:

PLZ + Stadt = 00000 Panama
Land = Panama

PLZ + Stadt = Hong Kong
Land = Hong Kong

Lauschiges Städtchen? Der Name lässt eher nichts Gutes ahnen.

Stadt = City of Industry
Land = USA / Vereinigte Staaten
Staat / Provinz = California

Die vor Kurzem gestartete Übersetzungsaktion fängt an Früchte zu tragen. Das Form Mail Script gibt es jetzt in arabischer Sprache. Mal sehen, wie das angenommen wird und vor allen Dingen wie gut die Übersetzung am Ende wirklich ist.

Aus dem Support:

The other thing is minor but I would like to change copy on the 'thank you' page, but I'll be buggered if I can find where the code and/or text is hiding.

:-D

Hinweis: Es folgt eine etwas längliche Forums- und Mail-Korrespondenz. :-P

Letztens schrieb ein Kunde folgendes im Support-Forum:

Script Vulnerability!

Today my site, which uses the short URL script, was "hacked" via the script using iframe injection in to a few PHP files, according to my hosting company.

When I went to my site, the main page was not working at all. It displayed a php error for index.php. When I went to that file, I found the following code at the bottom of the file:

Code:
<iframe src="http://example.com
<iframe src="http://example.com/path/file.cgi?parameter" width=125 height=125 style="visibility: hidden"></iframe>

Obviously, I never added this code. When I contacted my hosting company, they said that it was not due to anyone taking over my account, but rather a vulnerability in the short URL script that allows iframe injection.

Der Kunde ließ uns FTP-Zugang, Zugang zum Control Panel des Web-Accounts und die FTP-Logdatei zukommen. Das Ergebnis war, dass es kaum möglich sein konnte, dass unser Script für das Problem verantwortlich war. Für das Ändern der Dateien wurde der FTP-Account des Kunden genutzt. Hätten die Hacker jedoch eine Lücke im Script benutzt, wäre die Aktivität in der Access-Log und nicht in der FTP-Log aufgetaucht. Das schrieben wir auch dem Kunden.

First of all you should change the passwords of all your FTP accounts and run a virus check on your computer. As the log file you've send me clearly states, someone used the FTP username "[gelöscht]" for downloading and uploading those files.

It is interesting that the webhosting people blame the script. The script doesn't know your FTP account. There is no way for anyone to get the script to tell them your FTP account (that I can see).

Even file inclusion - a popular hacking method - is not possible. The input from the form will be stored in the database. No inclusion of any file of the script depends on user input. Besides, if someone used the script to place that code on your server, it wouldn't show in the FTP log file. It would show in the access log file.

I've downloaded the access log files via your control panel. There is no unusual activity with the script around the time your server got hacked.

Also, the hackers didn't know what they were doing. While changing those files, they broke the script. But if they were able to know the script well enough to hack it, they wouldn't have broken it. They would have made sure that it continues to run smoothly so that nobody notices anything wrong. They would have hacked the HTML template files, not the PHP code files.

As far as I can see there are two possibilities here: Firstly, your webhosting company got hacked and someone stole a bunch of FTP accounts. Or secondly, someone installed a trojan horse or a keylogger on your computer and stole the FTP login this way.

I can't dismiss entirely the possibility, that the script got hacked. That wouldn't be the first time one of our scripts had a security hole. We always were able to find the bug and fix it within hours, but I can't see a connection between the hack and the Short URL script other than the script got changed during the hack.

If your webhosting company can provide evidence that our script is indeed the culprit, I'd happily use that evidence to fix the script.

If you have any questions, let me know.

Und hier die Antwort:

I contacted my hosting company again and sent them a copy of your e-mail. After further investigation they stated that your explanations are correct, and that the script is NOT at fault. We're still working out to determine the cause, however it was not the script. They were too quick to judge the script without first properly conducting an investigation in to the FTP logs, and I have made that complaint clear to them. I apologize for this and I thank you very much for your e-mail.

:-)

Ab und an kommen hier Anfragen von Leuten, die unsere Scripte ermäßigt oder gar kostenlos haben wollen. Das Gros kommt dabei von gemeinnützigen Vereinen, kirchlichen Organisationen, Studenten, Rentnern. Folgende Argumentation ist jedoch neu:

We want tobuy the software but can pay only usd 10/- for this script. All major softwares are offering almost 50 -60% discount now a days due to recession.

Aber selbst mit einer Absage gibt man sich nicht zufrieden:

Hello GentleSource,

we are requesting you for discount to make it USD 10 for the script

otherwise thank you.

Best Regards

Ist es tatsächlich so schwer zu verstehen, dass wir nicht wahllos Preisnachlässe gewähren?

Unser altes Projekt guerrillamail.com, das auf dem Wegwerf-E-Mail-Script basiert, ist wieder zu verkaufen. Aktuelles Gebot sind 8.000 USD, sofort kaufen könnte man es für 20.000 USD. Beide Preise dürften dem jetzigen Besitzer einen akzeptablen Gewinn bescheren. Nicht schlecht auf jeden Fall für ein Script für 19 EUR, ein paar Domains und ein bisschen Layout drum herum.

Der Nutzer schreibt, dass beim Aufruf des Scripts folgende Fehlermeldung angezeigt wird:

Warning: main(output.class.inc.php) [function.main]: failed to open stream: No such file or directory in [...]

Okay, auf manchen verkorksten Servern kann das alles mögliche heißen, aber in 99,9% aller Fälle bedeutet es genau das: Es fehlt die in der Fehlermeldung erwähnte Datei. Also haben wir den Nutzer entsprechend instruiert:

Could you please check if there is a file named output.class.inc.php in the folder /include/. If not, please make sure that you've uploaded all script files to your server.

Natürlich kam als Antwort:

Yes I have the file output.class.inc.php in my /include/ folder on the server.

Vielleicht war es ja doch einer dieser Sonderfälle, dachten wir uns. Der Zugriff per FTP brachte es dann ans Licht.

Irgendjemand hat da wohl was auf den Augen. ;-)

Die Browser-Hersteller haben in den letzten Wochen neue Versionen ihrer Produkte herausgebracht, zuletzt Mozilla. Zeit für einen Blick auf die Verteilung. Verschiedene Websites mit verschiedenen Zielgruppen zeigen erwartungsgemäß ein unterschiedliches Bild.

Fangen wir an mit gentlesource.de, einer deutschsprachigen Seite mit Technik-vertrauten Nutzern. Google Chrome (1,5%) läuft hier übrigens noch hinter Safari unter ferner liefen.

Ganz im Gegensatz dazu eine Seite mit Informationen zu Versicherungen. Der Durchschnittsinternetnutzer ist noch fest in der Hand des Internet Explorers.

Der Internet Explorer 6 scheint überall auf dem Rückzug zu sein. Nicht jedoch in China. Auf einer unserer Kurz-URL-Seiten, bei der 69% der Zugriffe aus China kommen, hält der IE 6 erstaunliche 50%.

Google Chrome krepelt meistens so bei 1% bis 2% herum. Nicht so auf incognitomail.com. Dort erreicht der Browser sagenhafte 6,5%.

Und am Schluss die Statistik für scriptblogger.de. Die "Other Browsers" sind hier übrigens wegen des Feeds so stark. Der wird von allen möglichen User Agents heruntergeladen.

Da kauft jemand unser Script, bekommt es nicht zum Laufen und beschwert sich. Da wir keine Chance bekommen, das Problem zu lösen, erstatten wir den Kaufpreis. Einen Monat später meldet sich der Kunde erneut - mit einer Frage zu einem anderen Script.

Da wir das unkooperative Verhalten noch gut in Erinnerung hatten und uns für jede Rückbuchung Kosten entstehen, hatten wir keine Lust mehr auf den Kunden.

Guten Tag,
wir möchten Sie höflichst bitten, unsere Scripte nicht mehr zu nutzen. Beim letzten Mal haben wir Geld eingebüßt und mussten nicht sehr nette von Ihnen E-Mails lesen. Bitte machen Sie sich auch nicht die Mühe, auf diese E-Mail zu antworten.

Das ist zugegebenermaßen etwas harsch. Das fand wohl auch der Kunde und ignorierte unseren Wunsch.

Sehr geehrter Herr Stadthaus,
ich kann mich nicht daran erinnern dass der von mir gezahlte Rechnungsbetrag von Ihnen zurück erstattet wurde.
Insofern tun Sie doch bitte nicht so, als ob Ihnen ein Schaden entstanden wäre.
Mir ist er entstanden und offensichtlich ist das Ihre besondere Art mit Problemen umzugehen!
Sehr professionell!

Dass Leute den Namen Stadtaus mit h schreiben und sprechen, ist nichts neues. Man weist sie freundlich darauf hin und das Problem ist erledigt. Außerdem haben wir noch die Nachricht vom Zahlungsanbieter mitgeschickt, in der die Rückbuchung bestätigt wird. Die Antwort:

Sehr geehrter Herr Stadtaus,
den Schreibfehler Ihres Namens zu bemängeln erzählt eine Menge darüber wie Sie mit Kunden umgehen.
Es ist offensichtlich wichtiger, was ich durchaus verstehen kann, statt ein Kundenproblem zu lösen!
Man nennt das wohl Prioritäten.
Zur Rückbuchung des ´Betrages ist es nicht gekommen.
Dazu liegt mir entsprechender Schriftwechsel mit share-it vor.

Es wäre interessant gewesen zu wissen, warum es nicht zu einer Rückbuchung gekommen ist. Eine Nachfrage beim Zahlungsanbieter ergab nun folgendes:

Wir haben für diese Bestellung die Rückerstattung eingeleitet, aber der
Kunde ist mit der Rückerstattung nicht einverstanden. Der Kunde hat uns
mitgeteilt, dass er die Ware behalten will. Somit wurde der
Rückerstattungsprozess abgebrochen.

Anscheinend hat der Kunde sein ursprüngliches Problem selbst lösen können. Es wäre hilfreich gewesen, das zu erwähnen.

Die PHP-Entwickler haben die finale Version 5.3 freigegeben und mit ihr einige interessante Funktionen und Änderungen. Als wichtigste Neuerung gilt die Unterstützung von Namensräumen (Was sind überhaupt Namensräume?).

Die Schar der PHP-eigenen Konstanten wurde um __DIR__ erweitert, welche folgenden Aufruf überflüssig machen wird:

echo dirname(__FILE__);

Außerdem versprechen die PHP-Entwickler eine verbessterte Performance sowohl einzelner Komponenten - z.B. md5() - also auch der gesamten Anwendung.

Liste mit weiteren Änderungen beziehungsweise Funktionen, die Änderungen erfahren haben:

• Late static binding
• RE2C
• Internationalization extension
• Phar extension
• E_DEPRECATED
• __callStatic
• Garbage Collection
• MySQLnd

Kam soeben per E-Mail:

Hi gentle people

I bought both the news and the comment script for my website [...] and i'm really overjoyed, they just work perfectly. i had some hard time integrating them to my layout but now it's fine, they are very simple to use. So thanks a lot, and keep up the good work!

Machen wir. :-)