ScriptBlogger

Phpinfo() ist nützlich. Phpinfo() erfüllt keinen anderen Zweck, als nützlich zu sein. Warum ein Server-Betreiber phpinfo() manipuliert und unter anderem die Anzeige der Umgebungsvariablen verhindert, wird wohl für immer ein Rätsel bleiben.

Im vorliegenden Fall war der Grund für den Griff nach phpinfo(), dass der Aufruf von getenv('REQUEST_URI') folgendes produzierte:

/www;example.com/beispiel/pfad/datei.php

Der Domain-Name im REQUEST_URI? Ein Semikolon im Domain-Namen? Da ist ja wohl alles falsch.

$_SERVER['REQUEST_URI'] im Gegenzug hat den korrekten Wert angezeigt.

/beispiel/pfad/datei.php

Zum Glück war es nur eine Stelle im Script, die geändert werden musste.

Antwort vom Kunden:

I got Lycos as provider. They somethimes got very strange methodes. The first time i also got problems with oscommerce.

Ein Kunde schrieb soeben:

My Comment Script stopped working and I had to re-install the whole thing.

Großartig. Es wäre eventuell hilfreich gewesen, mal einen Blick auf das Problem werfen zu können.

Was lange wehrt... Nachdem PHP 5 seit Jahren verfügbar und auf vielen Servern parallel zu PHP 4 installiert war und ist, bietet den Aussagen Parallels zufolge Plesk ab Version 9 die Möglichkeit, mehrere PHP-Versionen nebeneinander zu betreiben.

PHP over Fast CGI

Site applications based on PHP implementation will now be executed faster and safer with PHP running in the Fast CGI mode. This enhancement allows running several PHP versions simultaneously.

Großartig. Für die Kombination PHP 4/ PHP 5 kommt das Ganze zu spät, aber PHP 6 wirft ja bereits seine Schatten voraus. Bleibt noch die Frage, wie einfach oder wie aufwändig es sein wird, die zwei PHP-Versionen auf den Server zu bringen. Wir werden sehen.

Verwandter Artikel: Plesk 9 ist verfügbar - halbwegs

Der Anteil funktionaler Analphabeten in Deutschland liegt dem Bundesverband Alphabetisierung und Grundbildung zufolge bei geschätzten 5%. Vom funktionalen Analphabetismus spricht man dann, wenn jemand zwar Buchstaben erkennen und seinen Namen und ein paar weitere Wörter schreiben kann, das Verstehen längerer Texte ihm aber Mühe bereitet.

Im Gegensatz zu den Analphabeten gibt es eine Sorte Menschen, die zwar lesen können, es aber anscheinend nicht wollen. Das sind Menschen, die völlig ignorant gegenüber Hinweistexten und Anleitungen sind. Menschen, die Fragen stellen, zu denen es bereits haufenweise Antworten in Support-Foren gibt und FAQ-Listen gibt.

Da fragt man sich, wozu man bei einem Kundenprojekt folgenden Text überhaupt noch einbaut, ...

Hinweis: Wir betreiben diese Website als ein von Krankenkassen und Krankenversicherungen unabhängiger Anbieter. Bitte richten Sie deshalb Anfragen, insbesondere solche mit vertraulichen Daten und Informationen, direkt an Ihre Krankenkasse oder Krankenversicherung. Nutzen Sie nicht dieses Formular dafür.

... wenn trotzdem ständig E-Mails eintreffen, mit denen niemand außer der Versicherung oder der Krankenkasse etwas anfangen kann. Da werden Versicherungen gekündigt, Adressen geändert, um Informationen gebeten. Zuweilen ist es schon erstaunlich, was Leute alles für Informationen in Formulare auf einer Website eingeben. Die Themen reichen von Sterbehilfe und Krebsvorsorge bis zu Geschlechtsumwandlung - alles dabei.

Aber möglicherweise liegt das Problem ja in der Formulierung des Textes. Für Vorschläge, wie der Text klarer und deutlicher gemacht werden kann, wären wir wirklich dankbar.

Auf die Bitte um Zusendung der FTP-Daten für einen Server antwortete eine Kundin:

I cannot provide you with FTP access, I do not have it set up on my machine. From what I have read it requires full username and password access to all of my box. From what I do understand FTP and even SFTP is not secure. The password and username is not encrypted and is sent in the clear over the internet. [...] I know a lot of people use it but until there is a secure FTP solution I will not use it.

Die Sicherheit von FTP zu hinterfragen ist sicherlich richtig, denn Benutzerdaten und Dateien werden in der Tat unverschlüsselt übertragen. Wenn man dann auch noch SFTP (SSH File Transfer Protocol) als nicht sicher betrachtet, bleiben da nicht mehr viele Möglichkeiten übrig. Bei der Kundin ist's:

Fixed link. The server is right next to me.

Das heißt dann mal wieder Fernwartung per stiller Post.

Drei Möglichkeiten, um zu verhindern, dass Suchmaschinen Seiten mit angehängter PHP-Session-ID in ihren Index aufnehmen:

ini_set() im PHP-Script

ini_set('session.use_trans_sid', false);

.htaccess

php_flag  session.use_trans_sid off

robots.txt

User-agent: *
Disallow: /*PHPSESSID  

Nachtrag:

Die erste Methode per ini_set funktioniert nur bis PHP 4.2.3. Bei späteren PHP-Versionen funktioniet es nur per .htaccess oder, wenn PHP als CGI installiert ist, per php.ini. Letztere kommt in das entsprechende Verzeichnis auf dem Server und hat folgenden Inhalt:

session.use_trans_sid = 0

Wenn ein Script nicht funktioniert, steht man ohne FTP-Zugang so gut wie auf verlorenem Posten. Man kann kein phpinfo() ausführen. Man kann nicht nachsehen, ob die Dateien und Ordner vollständig sind. Man kann die Datei- und Verzeichnisrechte nicht überprüfen. Man kann keine Dateien auf Änderungen prüfen. Deshalb sind Antworten wie diese äußerst unbefriedigend:

I can't give you the login cos my company server got no ftp open to pubic.

Großartig. Fernwartung per E-Mail.

Das Hauptproblem war, dass statt einer aussagekräftigen Fehlermeldung des Scripts, eine Fehlermeldung von PHP angezeigt wurde. Anscheinend ein Bug im System-Modul, welches aussagekräftige Fehlermeldungen anzeigen soll. Ironie des Schicksals.

Der Bug war schnell gefixt und die Datei per E-Mail an den Kunden geschickt. Nach der Rückmeldung durch den Kunden Seite erneut geladen, weiteren Fehler in anderer Datei gefunden, Fehler behoben und neue Datei zum Kunden geschickt. Das Ganze hat sich dann noch ein drittes Mal wiederholt.

Es war dann augenscheinlich, dass die Installationsroutine die Datenbanktabellen nicht erstellt hatte. Haben wir also die Installation nochmals von vorn ausgeführt. Und siehe da. Spuckt unser System-Modul folgende Fehlermeldung aus:

Install File Not Found

../include/sql/install.sql

Es erschließt sich von selbst, dass die Datenbanktabellen nicht erstellt werden können, wenn der entsprechende SQL-Code dafür fehlt. Da hat wohl beim Hochladen der Dateien durch den Kunden irgend etwas nicht funktioniert. Ein paar Tage später hat der Kunde dann die Dateien vervollständigt und siehe da: Installation und Script funktionieren. :-)

Das Einbinden des Comment Scripts ist mit etwas Handarbeit verbunden. Grundkenntnisse in HTML und PHP vereinfachen und beschleunigen die Installation. Für alle weniger Erfahrenen hat ein Nutzer des Scripts ein Anleitungs-Video erstellt.

Mal sehen, ob es sich positiv (= verringernd) auf die Zahl Support-Anfragen auswirkt. B-)

Wir berichteten vor kurzem, dass die Handhabung der PEAR-Klasse Net_FTP im Zusammenhang mit dem passiven Modus nicht ganz eindeutig ist. Kommentator JR hat deshalb auf pear.php.net eine Funktionsänderung vorgeschlagen und siehe da: Nur wenige Tage später wurde die FTP-Klasse entsprechend erweitert.

Ein Blick auf die verschiedenen Versionen der Klasse zeigt, dass der Entwickler den Aufruf zum aktivieren einer passiven Verbindung¹ erst im zweiten Anlauf an der richtigen Stelle platziert hat. Nämlich nach dem Login und nicht bereits schon nach dem Herstellen der Verbindung. Waren also nicht nur wir verwirrt. ;-)

Jetzt ist die Fußangel allerdings (fast)² beseitigt. Man kann nun setPassive() vor dem Herstellen der Verbindung, nach dem Herstellen der Verbindung oder nach dem Login aufrufen - der Effekt ist derselbe.

1) Eine passive Verbindung aktivieren? Das ist ja wie laufen gehen (joggen). 

2) Momentan allerdings funktioniert nur die bisherige Methode, denn folgender Code verhindert den automatischen Aufruf in der Methode login().

if (!$this->_passv) {
    $this->setPassive();
}

Das Ausrufezeichen ist zu viel. Beim Aufruf von setPassive() wird $this->_passv = true gesetzt. $this->_passv dann aber später auf false zu Prüfen haut nicht hin. Interessanterweise ist das Ausrufezeichen erst beim Umzug des Codes von der Methode connect() in die Methode login() dazugekommen. Merkwürdig, merkwürdig.

Nachtrag: 

Auf unseren Hinweis hin wurden auch die übrigen Fehler korrigiert. Funktioniert jetzt alles bestens. Vielen Dank dafür an dieser Stelle.

Immer diese Umweltverschmutzer. Oder vielmehr Referrer-Log-Verschmutzer. Es ist schon nervig genug, wenn sich unzählige Bots auf der Seite tummeln und einem die Bandbreite rauben. Noch dreister sind Bots, die zudem einen Referrer-Eintrag in den Log-Dateien hinterlassen.

Einer dieser Vertreter ist bigfinder.de. Durch ständiges Aufrufen der Seite bringen sich Websites, wie die genannte, in Top-Referrer-Listen, die einige Webmaster auf Ihrer Website anzeigen. Mit gewissem Erfolg, wie eine kurze Recherche ergab.

Da es im Guten (per E-Mail) nicht möglich war, das zu unterbinden, machen wir jetzt die Schotten dicht. Eintrag in der .htaccess:

RewriteCond %{REMOTE_HOST} ^83\.133\.125\.202$ [NC]
RewriteRule .* - [F]

Auch wenn bei PHP-Funktionen wie timezone_identifiers_list() (bzw. DateTimeZone::listIdentifiers()) PHP 5 >= 5.1.0 als Verfügbarkeit angegeben ist, sollte man sich nicht zu früh freuen. Im Kleingedruckten steht nämlich:

Note: Experimental DateTime support in PHP 5.1.x

Although the DateTime class (and related functions) are enabled by default since PHP 5.2.0, it is possible to add experimental support into PHP 5.1.x by using the following flag before configure/compile: CFLAGS=-DEXPERIMENTAL_DATE_SUPPORT=1

Effektiv sind diese Funktionen also erst ab PHP 5.2.0 verfügbar. Dies nur so als Hinweis. Nicht dass hinterher wieder jemand sagt, er hätte es nicht gewusst. ;-)

Dieser Tipp richtet sich an PHP-Neulinge und Wenignutzer.

Variablen wollen initialisiert werden

Erfahrungsgemäß könnte man diesen Hinweis auch getrost an viele erfahrene Programmierer richten. Das ist erstaunlich, sollte man doch meinen, dass die wissen was sie tun. Leider ist dies nicht immer der Fall. Oft lassen sie sich auch sehr ungern belehren und sind deshalb schnell beleidigt. Deshalb ignorieren wir sie an dieser Stelle. ;-)

Variablen, die vor Ihrer Nutzung nicht initialisiert (bzw. definiert) werden, können zu unerwartetem Verhalten der Anwendung führen. Man weiß nämlich nie, welchen Wert diese Variable enthällt. Quellen für unerwartete Wertzuweisungen gibt es genug:

• Die Variable wurde bereits zuvor an anderer Stelle im Code benutzt¹
  
• Die Variable wurde in einer Schleife benutzt und enthält Werte aus dem letzten Schleifendurchlauf
  
• Wenn register_globals² eingeschaltet ist, kann eine nicht initialisierte Variable praktisch jeden Wert enthalten, der dem Script per POST, GET oder COOKIE übergeben wurde

Unterstützung bei diesem Problem kann man sich von der Option error_reporting in der php.ini geben lassen. Auf dem eigenen Entwicklungssystem kann man mindestens E_ALL einstellen und wird dann von PHP auf nicht initialisierte Variablen hingewiesen.

Das löst jedoch nur einen Teil der Probleme. Deshalb kann es nicht schaden, Variablen auch ohne Aufforderung durch PHP zu initialisieren. Zwei Gedankenstützen können dabei helfen.

Client per IP-Adresse blockieren

RewriteCond %{REMOTE_HOST} ^127\.0\.0\.1$ [NC]
RewriteRule .* - [F] 

Referrer blockieren

RewriteCond %{HTTP_REFERER} example\.com [NC]
RewriteRule .* - [F]

Aufrufe der Website ohne www auf die Domain mit www umleiten

RewriteCond %{HTTP_HOST} ^example\.com [NC]
RewriteRule ^(.*)$ http://www.example.com/$1 [L,R=301]  

Dasselbe, nur umgekehrt, wenn man auf das www verzichten möchte

RewriteCond %{HTTP_HOST} ^www.example\.com [NC]
RewriteRule ^(.*)$ http://example.com/$1 [L,R=301]  

Fehlenden Schrägstrich am Ende von Verzeichnissen hinzufügen

RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_URI} !(.*)/$
RewriteRule ^(.*)$ http://%{HTTP_HOST}/$1/ [L,R=301]

In den Anfängen, als das Web gerade populär wurde, schmückte sich jede Website, die wirklich etwas auf sich hielt, mit mindestens fünf Awards. Awards waren mehr oder weniger scheußliche Grafiken, die zeigen sollten, dass jemand, der sich damit auskennt, die Website begutachtet und für gut befunden hat.

Das Problem dabei: Dieser jemand hatte selten auch nur einen blassen Schimmer von Web-Design und hatte auch meistens die Seite nie zu Gesicht bekommen. Trotzdem wurde mit Awards um sich geworfen, was das Zeug hielt – der Back-Links wegen.

In Variationen scheint sich dieses Konzept bis heute am Leben erhalten zu haben. Hat sich vermutlich zwischenzeitlich im „Deep Web“ verkrochen.

Nun hat sich seine dilettantische Fratze wieder gezeigt:

I am sending you this email because your software product named Download Center Lite 1.4 has been tested on 06 Oct 2008 and has been found by our team a high quality software product. Also, we were impressed by the cleanliness of your program. According to our classification and to our test results, we decided to grant your product, Download Center Lite 1.4, with a 5/5 Stars Rating and "5 stars award award". This award means that your product is a Premium Software.

Großartig. Version 1.4 ist ungefähr so alt wie der IE3 und das Script heißt schon seit einer ganzen Weile nicht mehr Download Center Lite. Das einzige was hier stimmt ist „...high quality software product...“, aber das ist wohl eher ein Zufallstreffer. Glaubt wirklich jemand, dass die alle Scripte und Programme, die sie da in ihrem Verzeichnis haben, persönlich testen? Und wo haben die überhaupt unsere E-Mail-Adresse her?

We recommend you to let all your users or potential users of your product know about this newsworthy Soft32Download Award by displaying it on your website or on software boxes inside your product.

Ja genau! Die Leute werden uns auslachen.

For displaying your award you can copy and paste this html code.

Aha, die Grafik und der Back-Link.

Wenn man übrigens die Detailseite des Scripts auf deren Website aufruft, ist das erste was man sieht, eine Browser-füllende AdSense-Anzeige. Macht einen äußerst professionellen Eindruck...

Ein Kunde unseres Schedule Organizers hatte ein paar knifflige Fragen und schrieb dann abschließend:

Ansonsten - sie haben da ein geniales Tool auf die Beine gestellt - echt top!

:-)