webinterface.git

1) <?php

2) /*
3) This file belongs to the Webinterface of schokokeks.org Hosting
4) 

5) Written by schokokeks.org Hosting, namely

6)   Bernd Wurst <bernd@schokokeks.org>
7)   Hanno Böck <hanno@schokokeks.org>
8) 

9) This code is published under a 0BSD license.

10) 
11) Nevertheless, in case you use a significant part of this code, we ask (but not require, see the license) that you keep the authors' names in place and return your changes to the public. We would be especially happy if you tell us what you're going to do with this code.
12) */

13) 

14) require_once('class/database.php');

15) require_once('inc/debug.php');

16) 

17) use PHPMailer\PHPMailer\PHPMailer;
18) use PHPMailer\PHPMailer\Exception;
19) 
20) require_once('vendor/autoload.php');
21) 

22) function config($key, $localonly = false)

23) {

24)     global $config;
25) 
26)     if ($key == "modules") {
27)         // Stelle sicher, dass das "index"-Modul immer aktiv ist!

28)         if (!in_array("index", $config['modules'])) {

29)             $config['modules'][] = "index";
30)         }
31)         // Stelle sicher, dass das "about"-Modul immer aktiv ist!

32)         if (!in_array("about", $config['modules'])) {

33)             $config['modules'][] = "about";
34)         }

35)     }
36) 

37)     if ($key == 'modules' && isset($_SESSION['restrict_modules'])) {

38)         $modules = [];

39)         foreach ($config['modules'] as $mod) {
40)             if (in_array($mod, $_SESSION['restrict_modules'])) {
41)                 $modules[] = $mod;
42)             }
43)         }
44)         return $modules;

45)     }
46) 

47)     if (array_key_exists($key, $config)) {
48)         return $config[$key];
49)     }

50) 

51)     if ($localonly) {
52)         return null;
53)     }

54) 

55)     /* read configuration from database */
56)     $result = db_query("SELECT `key`, value FROM misc.config");

57) 

58)     while ($object = $result->fetch()) {
59)         if (!array_key_exists($object['key'], $config)) {

60)             $config[$object['key']] = $object['value'];

61)         }
62)     }
63)     // Sonst wird das Passwort des webadmin-Users mit ausgegeben
64)     $debug_config = $config;
65)     unset($debug_config['db_pass']);
66)     DEBUG($debug_config);
67)     if (array_key_exists($key, $config)) {
68)         return $config[$key];
69)     } else {

70)         logger(LOG_ERR, "inc/base", "config", "Request to read nonexistent config option »{$key}«.");

71)     }
72)     return null;

73) }
74) 

75) function have_role($role)
76) {

77)     $have = $_SESSION['role'] & $role;
78)     if ($have) {

79)         DEBUG("Current user has role " . $role);

80)     } else {

81)         DEBUG("Current user does not have role " . $role);

82)     }
83)     return $have;
84) }
85) 

86) function get_server_by_id($id)
87) {
88)     $id = (int) $id;

89)     $result = db_query("SELECT hostname FROM system.servers WHERE id=?", [$id]);

90)     $ret = $result->fetch();
91)     return $ret['hostname'];

92) }
93) 

94) 

95) function redirect($target)
96) {

97)     global $debugmode;
98)     if ($target == '') {
99)         $target = $_SERVER['REQUEST_URI'];
100)     }

101)     if (!$debugmode) {

102)         header("Location: {$target}");
103)     } else {
104)         if (strpos($target, '?') === false) {

105)             print 'REDIRECT: ' . internal_link($target, $target);

106)         } else {

107)             [$file, $qs] = explode('?', $target, 2);

108)             print 'REDIRECT: ' . internal_link($file, $target, $qs);

109)         }
110)     }
111)     die();

112) }
113) 
114) 

115) function my_server_id()
116) {

117)     $uid = (int) $_SESSION['userinfo']['uid'];

118)     $result = db_query("SELECT server FROM system.useraccounts WHERE uid=?", [$uid]);

119)     $r = $result->fetch();
120)     DEBUG($r);
121)     return $r['server'];

122) }
123) 
124) 
125) function additional_servers()
126) {

127)     $uid = (int) $_SESSION['userinfo']['uid'];

128)     $result = db_query("SELECT server FROM system.user_server WHERE uid=?", [$uid]);
129)     $servers = [];

130)     while ($s = $result->fetch()) {
131)         $servers[] = $s['server'];
132)     }
133)     DEBUG($servers);
134)     return $servers;

135) }
136) 
137) 
138) function server_names()
139) {

140)     $result = db_query("SELECT id, hostname FROM system.servers");

141)     $servers = [];

142)     while ($s = $result->fetch()) {
143)         $servers[$s['id']] = $s['hostname'];
144)     }
145)     DEBUG($servers);
146)     return $servers;

147) }
148) 
149) 

150) function maybe_null($value)
151) {

152)     if (!$value) {

153)         return null;
154)     }

155) 

156)     if (strlen((string) $value) > 0) {
157)         return (string) $value;
158)     } else {
159)         return null;
160)     }

161) }
162) 

163) 

164) #define('LOG_ERR', 3);
165) #define('LOG_WARNING', 4);
166) #define('LOG_INFO', 6);

167) 

168) function logger($severity, $scriptname, $scope, $message)

169) {

170)     if (config('logging') < $severity) {
171)         DEBUG("NOT LOGGING $scriptname:$scope:$message");
172)         return;
173)     }
174) 
175)     DEBUG("LOGGING $scriptname:$scope:$message");
176)     $user = null;
177)     if (array_key_exists("role", $_SESSION)) {
178)         if ($_SESSION['role'] & ROLE_SYSTEMUSER) {
179)             $user = $_SESSION['userinfo']['username'];
180)         } elseif ($_SESSION['role'] & ROLE_CUSTOMER) {
181)             $user = $_SESSION['customerinfo']['customerno'];
182)         }
183)     }
184) 

185)     $args = [":user" => $user,

186)         ":remote" => $_SERVER['REMOTE_ADDR'],
187)         ":scriptname" => $scriptname,
188)         ":scope" => $scope,
189)         ":message" => $message, ];

190) 

191)     db_query("INSERT INTO misc.scriptlog (remote, user,scriptname,scope,message) VALUES (:remote, :user, :scriptname, :scope, :message)", $args);

192) }
193) 

194) function count_failed_logins()
195) {

196)     if (config('logging') < LOG_WARNING) {
197)         DEBUG("logging is disabled, no brute force check possible");
198)         return;
199)     }

200)     $result = db_query("SELECT count(*) AS num FROM misc.scriptlog WHERE user IS NULL AND scriptname='session/start' AND scope='login' AND message LIKE 'wrong user data%' AND remote=:remote AND `timestamp` > NOW() - INTERVAL 10 MINUTE", [":remote" => $_SERVER['REMOTE_ADDR']]);

201)     $data = $result->fetch();

202)     DEBUG('seen ' . $data['num'] . ' failed logins from this address within 10 minutes');

203)     return $data['num'];
204) }
205) 

206) function html_header($arg)
207) {

208)     global $html_header;
209)     $html_header .= $arg;

210) }

211) 

212) function title($arg)
213) {

214)     global $title;
215)     $title = $arg;

216) }
217) 
218) function headline($arg)
219) {

220)     global $headline;
221)     $headline = $arg;

222) }
223) 

224) function output($arg)
225) {

226)     global $output;
227)     $output .= $arg;

228) }
229) 

230) function footnote($explanation)

231) {
232)     global $footnotes;
233)     if (!isset($footnotes) || !is_array($footnotes)) {

234)         $footnotes = [];

235)     }

236)     $fnid = array_search($explanation, $footnotes);

237)     DEBUG($footnotes);

238)     if ($fnid === false) {

239)         DEBUG("Footnote »{$explanation}« is not in footnotes!");
240)         $footnotes[] = $explanation;

241)     }

242)     $fnid = array_search($explanation, $footnotes);

243)     return str_repeat('*', ($fnid + 1));

244) }

245) 

246) function random_string($len)

247) {

248)     $s = str_replace('+', '.', base64_encode(random_bytes(ceil($len * 3 / 4))));

249)     return substr($s, 0, $len);

250) }

251) 
252) 
253) function are_you_sure($query_string, $question)
254) {

255)     $query_string = encode_querystring($query_string);
256)     $token = random_string(20);
257)     $_SESSION['are_you_sure_token'] = $token;
258)     title('Sicherheitsabfrage');
259)     output("

260)     <form action=\"{$query_string}\" method=\"post\">

261)     <div class=\"confirmation\">
262)       <div class=\"question\">{$question}</div>
263)       <p class=\"buttons\">

264)         <input type=\"hidden\" name=\"random_token\" value=\"{$token}\">
265)         <input type=\"submit\" name=\"really\" value=\"Ja\">

266)            

267)         <input type=\"submit\" name=\"not_really\" value=\"Nein\">

268)       </p>
269)     </div>");

270)     output("</form>\n");

271) }
272) 
273) 
274) function user_is_sure()
275) {

276)     if (isset($_POST['really'])) {

277)         if (array_key_exists('random_token', $_POST) &&
278)             ($_POST['random_token'] == $_SESSION['are_you_sure_token'])) {

279)             return true;
280)         } else {
281)             system_failure("Possible Cross-site-request-forgery detected!");
282)         }
283)     } elseif (isset($_POST['not_really'])) {
284)         return false;
285)     } else {
286)         return null;
287)     }

288) }
289) 
290) 
291) 

292) function generate_form_token($form_id)
293) {

294)     require_once("inc/debug.php");
295)     $sessid = session_id();
296)     if ($sessid == "") {
297)         DEBUG("Uh? Session not running? Wtf?");
298)         system_failure("Internal error!");
299)     }

300)     if (!isset($_SESSION['session_token'])) {

301)         $_SESSION['session_token'] = random_string(10);
302)     }

303)     return hash('sha256', $sessid . $form_id . $_SESSION['session_token']);

304) }
305) 
306) 

307) function check_form_token($form_id, $formtoken = null)

308) {

309)     if ($formtoken == null && isset($_REQUEST['formtoken'])) {

310)         $formtoken = $_REQUEST['formtoken'];
311)     }
312)     $sessid = session_id();
313)     if ($sessid == "") {
314)         DEBUG("Uh? Session not running? Wtf?");
315)         system_failure("Internal error! (Session not running)");
316)     }
317) 

318)     if (!isset($_SESSION['session_token'])) {

319)         $_SESSION['session_token'] = random_string(10);
320)     }

321)     $correct_formtoken = hash('sha256', $sessid . $form_id . $_SESSION['session_token']);

322) 

323)     if (!($formtoken == $correct_formtoken)) {

324)         system_failure("Possible cross-site-request-forgery!");
325)     }

326) }
327) 

328) 

329) function have_module($modname)
330) {

331)     return in_array($modname, config('modules'));

332) }
333) 
334) 

335) function use_module($modname)

336) {

337)     global $prefix, $needed_modules;

338)     if (!isset($needed_modules)) {

339)         $needed_modules = [];

340)     }
341)     if (in_array($modname, $needed_modules)) {
342)         return;
343)     }
344)     $needed_modules[] = $modname;

345)     if (!have_module($modname)) {

346)         system_failure("Soll nicht verfügbares Modul laden!");
347)     }
348)     /* setup module include path */

349)     ini_set('include_path', ini_get('include_path') . ':./modules/' . $modname . '/include:');
350)     $style = 'modules/' . $modname . '/style.css';

351)     if (file_exists($style)) {

352)         html_header('<link rel="stylesheet" href="' . $prefix . $style . '">' . "\n");

353)     }
354) }
355) 
356) 

357) function encode_querystring($querystring)

358) {

359)     global $debugmode;
360)     if ($debugmode) {

361)         $querystring = 'debug&' . $querystring;

362)     }
363)     $query = explode('&', $querystring);

364)     $new_query = [];

365)     foreach ($query as $item) {
366)         if ($item != '') {
367)             $split = explode('=', $item, 2);
368)             if (count($split) == 1) {
369)                 $new_query[] = $split[0];
370)             } else {

371)                 $new_query[] = $split[0] . '=' . urlencode($split[1]);

372)             }
373)         }
374)     }
375)     $querystring = implode('&', $new_query);
376)     if ($querystring) {

377)         $querystring = '?' . $querystring;

378)     }
379)     return $querystring;

380) }

381) 

382) 

383) function beta_notice()
384) {
385)     output('<div class="beta"><h4>Achtung: Testbetrieb</h4><p>Diese Funktion ist im Testbetrieb. Bei Fehlfunktionen, Unklarheiten oder Verbesserungsvorschlägen bitten wir um kurze Nachricht an <a href="mailto:root@schokokeks.org">root@schokokeks.org</a></p></div>');
386) }
387) 
388) 

389) function addnew($file, $label, $querystring = '', $attribs = '')

390) {

391)     output('<p class="addnew">' . internal_link($file, $label, $querystring, $attribs) . '</p>');

392) }
393) 

394) 
395) function internal_link($file, $label, $querystring = '', $attribs = '')
396) {

397)     global $prefix;
398)     if (strpos($file, '/') === 0) {

399)         $file = $prefix . substr($file, 1);

400)     }
401)     $querystring = encode_querystring($querystring);
402)     return "<a href=\"{$file}{$querystring}\" {$attribs} >{$label}</a>";

403) }
404) 
405) 

406) function html_form($form_id, $scriptname, $querystring, $content, $extraid = "")

407) {

408)     $querystring = encode_querystring($querystring);
409)     $ret = '';

410)     $ret .= '<form id="' . $form_id . $extraid . '" ';
411)     if ($scriptname . $querystring !== "") {
412)         $ret .= 'action="' . $scriptname . $querystring . '" ';
413)     }
414)     $ret .= 'method="post">' . "\n";

415)     $ret .= '<p style="display: none;"><input type="hidden" name="formtoken" value="' . generate_form_token($form_id) . '"></p>' . "\n";

416)     $ret .= $content;
417)     $ret .= '</form>';
418)     return $ret;

419) }
420) 
421) 

422) function html_select($name, $options, $default = '', $free = '')

423) {

424)     require_once('inc/security.php');
425)     $ret = "<select name=\"{$name}\" id=\"{$name}\" size=\"1\" {$free} >\n";
426)     foreach ($options as $key => $value) {
427)         $selected = '';
428)         if ($default == $key) {
429)             $selected = ' selected="selected" ';
430)         }

431)         $key = filter_output_html($key);
432)         $value = filter_output_html($value);

433)         $ret .= "  <option value=\"{$key}\"{$selected}>{$value}</option>\n";
434)     }
435)     $ret .= '</select>';
436)     return $ret;

437) }
438) 

439) 

440) function get_modules_info()

441) {

442)     $modules = config('modules');

443)     $modconfig = [];

444)     foreach ($modules as $name) {
445)         $modconfig[$name] = null;

446)         if (file_exists('modules/' . $name . '/module.info')) {
447)             $modconfig[$name] = parse_ini_file('modules/' . $name . '/module.info');

448)         }
449)     }
450)     return $modconfig;

451) }

452) 

453) 

454) function send_mail($address, $subject, $body, $msgtype = "adminmail")

455) {
456)     if (strstr($subject, "\n") !== false) {
457)         die("Zeilenumbruch im subject!");
458)     }

459)     if (config("smtp_server")) {
460)         // If we have smtp credentials we use phpmailer
461)         $mail = new PHPMailer(true);
462)         try {
463)             $mail->isSMTP();
464)             $mail->Host = config("smtp_server");
465)             $mail->SMTPAuth = true;
466)             $mail->Username = config("smtp_user");
467)             $mail->Password = config("smtp_pass");
468)             $mail->SMTPSecure = PHPMailer::ENCRYPTION_SMTPS;
469)             $mail->Port = 465;
470)             $mail->CharSet = 'UTF-8';
471)             $mail->Encoding = 'quoted-printable';
472)             $mail->setFrom(config("adminmail"), config('company_name') . " Web Administration");
473)             $mail->addAddress($address);
474)             if ($address !== config('adminmail')) {
475)                 $mail->addCC(config('adminmail'));
476)             }
477)             $mail->Subject = $subject;
478)             $mail->Body = $body;
479)             $mail->addCustomHeader("X-schokokeks-org-message", $msgtype);
480)             $mail->XMailer = ' ';
481)             $mail->send();
482)         } catch (Exception $e) {
483)             $adminmsg = "PHPMailer error:\n" . $mail->ErrorInfo . "\n\n";
484)             $adminmsg .= "SERVER info:\n" . print_r($_SERVER, 1);
485)             mail(config('adminmail'), $_SERVER['SERVER_NAME'] . ": error sending mail", $adminmsg);
486)             system_failure("Mail konnte nicht verschickt werden, die Administratoren werden informiert.");
487)         }
488)     } else {
489)         $header = [];
490)         $header["From"] = config('company_name') . " Web Administration <" . config('adminmail') . ">";
491)         if ($address !== config('adminmail')) {
492)             $header["Cc"] = config('adminmail');
493)         }
494)         $header["X-schokokeks-org-message"] = $msgtype;
495)         $header["Content-Type"] = "text/plain; charset=\"utf-8\"";
496)         $header["Content-Transfer-Encoding"] = "quoted-printable";
497)         $header["MIME-Version"] = "1.0";
498)         $subject = mb_encode_mimeheader($subject, "utf-8", "Q");
499)         $body = quoted_printable_encode($body);
500)         mail($address, $subject, $body, $header);

501)     }

502) }
503) 

504) function handle_exception($e)
505) {

506)     if (config('enable_debug')) {

507)         print_r($e->getMessage() . "<br>");

508)         debug_print_backtrace();
509)         echo("<br>");

510)         print_r(serialize($_POST) . "<br>");

511)         print_r(serialize($_SERVER));
512)     } else {

513)         $msg = "Exception caught:\n" . $e->getMessage() . "\n" . serialize($_POST) . "\n" . serialize($_SERVER);

514)         send_mail(config("adminmail"), "Exception on configinterface", $msg);

515)     }