@@ -39,6 +39,23 @@ p.warning {

 }

+div.confirmation {

+}

+

+div.confirmation div.question {

+        padding: 10px;

+        color: #000000;

+        border: 1px solid #FF0000;

+        background-color: #FFFFFF;

+        font-weight: bold;

+        margin-bottom: 1em;

+}

+

+div.confirmation p.buttons input {

+        width: 10em;

+}

+

+

 span.login_label {

         display: block;

         float: left;

@@ -67,10 +67,17 @@ function are_you_sure($query_string, $question)

     $query_string = 'debug&'.$query_string;

   $token = random_string(20);

   $_SESSION['are_you_sure_token'] = $token;

-  output("<form action=\"?{$query_string}\" method=\"post\">\n");

-  output("<p class=\"confirmation\">{$question}<br />\n");

-  output("<input type=\"hidden\" name=\"random_token\" value=\"{$token}\" />\n");

-  output("<input type=\"submit\" name=\"really\" value=\"Ja\" />\n<input type=\"submit\" name=\"not_really\" value=\"Nein\" /></p>\n");

+  output("<h3>Sicherheitsabfrage</h3>

+    <form action=\"?{$query_string}\" method=\"post\">

+    <div class=\"confirmation\">

+      <div class=\"question\">{$question}</div>

+      <p class=\"buttons\">

+        <input type=\"hidden\" name=\"random_token\" value=\"{$token}\" />

+        <input type=\"submit\" name=\"really\" value=\"Ja\" />

+           

+        <input type=\"submit\" name=\"not_really\" value=\"Nein\" />

+      </p>

+    </div>");

   output("</form>\n");

 }

@@ -103,19 +110,19 @@ function generate_form_token($form_id)

   }

   if (! isset($_SESSION['session_token']))

     $_SESSION['session_token'] = random_string(10);

-  $formtoken = hash('sha256', $sessid.$form_id.$_SESSION['session_token']);

-  return '<p style="display: none;"><input type="hidden" name="formtoken" value="'.$formtoken.'" /></p>'."\n";

+  return hash('sha256', $sessid.$form_id.$_SESSION['session_token']);

 }

-function check_form_token($form_id)

+function check_form_token($form_id, $formtoken = NULL)

 {

-  $formtoken = $_POST['formtoken'];

+  if ($formtoken == NULL)

+    $formtoken = $_POST['formtoken'];

   $sessid = session_id();

   if ($sessid == "") 

   {

     DEBUG("Uh? Session not running? Wtf?");

-    system_failure("Internal error!");

+    system_failure("Internal error! (Session not running)");

   }

   $correct_formtoken = hash('sha256', $sessid.$form_id.$_SESSION['session_token']);

@@ -147,7 +154,7 @@ function html_form($form_id, $scriptname, $querystring, $content)

   $querystring = str_replace('&', '&', $querystring);

   $ret = '';

   $ret .= '<form action="'.$scriptname.'?'.$debugstr.$querystring.'" method="post">'."\n";

-  $ret .= generate_form_token($form_id);

+  $ret .= '<p style="display: none;"><input type="hidden" name="formtoken" value="'.generate_form_token($form_id).'" /></p>'."\n";

   $ret .= $content;

   $ret .= '</form>';

   return $ret;  

@@ -1,5 +1,7 @@

 <?php

+require_once('inc/error.php');

+

 function strong_password($password)

 {

@@ -31,31 +33,56 @@ function strong_password($password)

 function filter_input_general( $input )

 {

-        return htmlspecialchars(iconv('UTF-8', 'UTF-8', $input), ENT_QUOTES, 'UTF-8');

+  return htmlspecialchars(iconv('UTF-8', 'UTF-8', $input), ENT_QUOTES, 'UTF-8');

+}

+

+

+function verify_input_general( $input )

+{

+  if (filter_input_general($input) != $input)

+    system_failure("Ihre Daten enthielten ungültige Zeichen!");

 }

+

 function filter_input_username( $input )

 {

-        return ereg_replace("[^[:alnum:]\_\.\+\-]", "", $input );

+  if (ereg_replace("[^[:alnum:]\_\.\+\-]", "", $input ) != $input)

+    system_failure("Ihre Daten enthielten ungültige Zeichen!");

 }

+

+

 function filter_input_hostname( $input )

 {

-        $input = strtolower($input);

-        return ereg_replace("[^[:alnum:]äöü\.\-]", "", $input );

+  $input = str_replace(array('Ä', 'Ö', 'Ü'), array('ä', 'ö', 'ü'), strtolower($input));

+  if (ereg_replace("[^[:alnum:]äöü\.\-]", "", $input ) != $input)

+    system_failure("Ihre Daten enthielten ungültige Zeichen!");

+  return $input;

 }

+

+

 function filter_quotes( $input )

 {

-        return ereg_replace('["\'`]', '', $input );

+  return ereg_replace('["\'`]', '', $input );

 }

+

+

 function filter_shell( $input )

 {

-        return ereg_replace('[^-[:alnum:]\_\.\+ßäöüÄÖÜ/%§=]', '', $input );

+  return ereg_replace('[^-[:alnum:]\_\.\+ßäöüÄÖÜ/%§=]', '', $input );

+}

+

+function verify_shell( $input )

+{

+  if (filter_shell($input) != $input)

+    system_failure("Ihre Daten enthielten ungültige Zeichen!");

 }

+

+

 function check_path( $input )

 {

   DEBUG("checking {$input} for valid path name");

@@ -79,7 +106,7 @@ function check_path( $input )

 function check_emailaddr( $input )

 {

-        return (preg_match("/^[a-z]+[a-z0-9]*[\.|\-|_]?[a-z0-9]+@([a-z0-9]*[\.|\-]?[a-z0-9]+){1,4}\.[a-z]{2,4}$/i", $input ) == 1);

+  return (preg_match("/^[a-z]+[a-z0-9]*[\.|\-|_]?[a-z0-9]+@([a-z0-9]*[\.|\-]?[a-z0-9]+){1,4}\.[a-z]{2,4}$/i", $input ) == 1);

 }

@@ -18,11 +18,11 @@ $title = "Domainüberblick";

 output('<h3>Domains</h3>

 <p>In Ihrem Account werden die folgenden Domains verwaltet:</p>

 <table>

-<tr><th>Domainname</th><th>Reg-Datum</th><th>Kündigungsdatum</th></tr>

+<tr><th>Domainname</th><th>Reg-Datum</th><th>Kündigungsdatum</th><th>&nbsp;</th></tr>

 ');

 foreach ($user_domains as $domain)

 {

-  output("  <tr><td><a href=\"http://www.{$domain->fqdn}\">{$domain->fqdn}</a></td><td>{$domain->reg_date}</td><td>{$domain->cancel_date}</td></tr>\n");

+  output("  <tr><td>{$domain->fqdn}</td><td>{$domain->reg_date}</td><td>{$domain->cancel_date}</td><td><a href=\"http://www.{$domain->fqdn}\">WWW-Seite aufrufen</a></td></tr>\n");

 }

 output('</table>');

 output("<br />");

@@ -9,10 +9,6 @@ require_role(ROLE_SYSTEMUSER);

 $user = $_SESSION['userinfo'];

-$param = '';

-if ($debugmode)

-        $param="debug";

-

 $title = "E-Mail-Accounts";

@@ -33,7 +29,6 @@ if (isset($_GET['action']) && $_GET['action'] == 'save')

     if ($error != "")

     {

       input_error($error);

-      $section = "mail";

       $title = "E-Mail-Accounts";

       output("");

     }

@@ -110,38 +105,39 @@ elseif (isset($_GET['action']) && $_GET['action'] == 'create')

 }

 elseif (isset($_GET['action']) && $_GET['action'] == 'delete' && $_GET['account'] != '')

 {

-  if ($_POST['confirm'] == 'yes')

+  $sure = user_is_sure();

+  if ($sure === NULL)

+  {

+    $_GET['account'] = (int) $_GET['account'];

+    $account = get_mailaccount($_GET['account']);

+    $enabled = ($account['enabled'] ? 'Ja' : 'Nein');

+    are_you_sure("action=delete&account={$_GET['account']}", '

+    <p>Soll der folgende Account wirklich gel&ouml;scht werden?</p>

+    <table style="margin-bottom: 1em;">

+      <tr><td>Benutzername:</td>

+        <td>'.filter_input_general($account['account']).'</td>

+      </tr>

+      <tr><td>Mailbox:</td>

+        <td>'.filter_input_general($account['mailbox']).'</td>

+      </tr>

+      <tr><td>Konto aktiv:</td>

+        <td>'.$enabled.'</td>

+      </tr>

+    </table>

+');

+  }

+  elseif ($sure === true)

   {

-    check_form_token('imap_accounts_delete');

     delete_mailaccount($_GET['account']);

     if (! $debugmode)

       header('Location: accounts.php');

     die();

   }

-  else

+  elseif ($sure === false)

   {

-    output('<h3>E-Mail-Account l&ouml;schen</h3>

-    <p>Soll der folgende Account wirklich gel&ouml;scht werden?</p>

-    ');

-    $_GET['account'] = (int) $_GET['account'];

-    $account = get_mailaccount($_GET['account']);

-    $enabled = ($account['enabled'] ? 'Ja' : 'Nein');

-    output(html_form('imap_accounts_delete', "accounts.php", "action=delete&account=".$_GET['account'], 

-    '<table style="margin-bottom: 1em;">

-    <tr><td>Benutzername:</td>

-      <td>'.filter_input_general($account['account']).'</td>

-    </tr>

-    <tr><td>Mailbox:</td>

-      <td>'.filter_input_general($account['mailbox']).'</td>

-    </tr>

-    <tr><td>Konto aktiv:</td>

-      <td>'.$enabled.'</td>

-    </tr>

-  </table>

-  <p><input type="hidden" name="confirm" value="yes" />

-    <input type="submit" value="Wirklich l&ouml;schen" />

-  </p>

-  '));

+    if (! $debugmode)

+      header("Location: accounts.php");

+    die();

   }

 }

 elseif (isset($_GET['edit']))

@@ -153,24 +149,23 @@ elseif (isset($_GET['edit']))

   $account = get_mailaccount($_GET['edit']);

   list($username, $domain) = explode('@', $account['account'], 2);

   $enabled = ($account['enabled'] ? ' checked="checked"' : '');

-  output('<form action="accounts.php?action=save&amp;id='.$_GET['edit'].'&amp;'.$param.'" method="post">

-  '.generate_form_token('imap_accounts_edit').'

+  $form = '

   <table style="margin-bottom: 1em;">

   <tr><th>Einstellung:</th><th>alter Wert:</th><th>neuer Wert:</th><th>&nbsp;</th></tr>

   <tr><td>Benutzername:</td><td><input type="text" id="old_account" name="old_account" value="'.$account['account'].'" readonly="readonly" style="background-color: #C0C0C0;" /></td>

           <td><input type="text" id="user" name="user" value="'.$username.'" />@<select name="domain" id="domain" size="1">

     <option value="schokokeks.org">schokokeks.org</option>

-    ');

+    ';

     $domains = get_domain_list($user['customerno'], $user['uid']);

     if (count($domains) > 0)

-      output('<option>----------------------------</option>');

+      $form .= '<option>----------------------------</option>';

     foreach ($domains as $dom)

       if ($domain == $dom->fqdn)

-        output('<option value="'.$dom->fqdn.'" selected="selected">'.$dom->fqdn.'</option>');

+        $form .= '<option value="'.$dom->fqdn.'" selected="selected">'.$dom->fqdn.'</option>';

       else

-        output('<option value="'.$dom->fqdn.'">'.$dom->fqdn.'</option>');

+        $form .= '<option value="'.$dom->fqdn.'">'.$dom->fqdn.'</option>';

-    output('</select></td>

+    $form .= '</select></td>

           <td><input type="button" onclick="document.getElementById(\'user\').value = \''.$username.'\' ; document.getElementById(\'domain\').value = \''.$domain.'\'" value="Zeile zur&uuml;cksetzen" /></td></tr>

   <tr><td>Mailbox:</td><td><input type="text" id="old_mailbox" name="old_mailbox" value="'.$account['mailbox'].'" readonly="readonly" style="background-color: #C0C0C0;" /></td>

           <td><input type="text" id="mailbox" name="mailbox" value="'.$account['mailbox'].'" /></td>

@@ -186,8 +181,8 @@ elseif (isset($_GET['edit']))

   <p><input type="submit" value="&Auml;nderungen speichern" /><br />

   Hinweis: Das Passwort wird nur ge&auml;ndert, wenn Sie auf dieser Seite eines eingeben. Geben Sie keines an, wird das bisherige beibehalten!</p>

   </form>

-  ');

-

+  ';

+  output(html_form('imap_accounts_edit', 'accounts.php', 'action=save&id='.$_GET['edit'], $form));

 }

 else

 {

@@ -48,6 +48,9 @@ elseif ($_GET['action'] == 'chpass')

 }

 elseif ($_GET['action'] == 'delete')

 {

+  $title = "Jabber-Account löschen";

+  $section = 'jabber_accounts';

+  

   $account = get_jabberaccount_details($_GET['account']);

   $account_string = filter_input_general( $account['local'].'@'.$account['domain'] );

   $sure = user_is_sure();

@@ -113,7 +113,7 @@ if ($output_something)

   output('<h3>MySQL-Datenbanken</h3>

   <p>Hier können Sie Ihre MySQL-Datenbanken verwalten. Die Einstellungen werden mit einer leichten Verzögerung (maximal 1 Minute) in das System übertragen. Bitte beachten Sie, dass neue Zugänge also nicht umgehend funktionieren.</p>

   <p><strong>Hinweis:</strong> In dieser Matrix sehen Sie links die Datenbanken und oben die Benutzer, die Sie eingerichtet haben.

-  In die leeren Eingabefelder können Sie den Namen eines neuen Benutzers bzw. einer neuen Datenbank eintragen. Sofern Sie noch keine Datenbank(en) oder Benutzer eingerichtet haben, erscheinen nur die Eingabefelder. Vergessen Sie nicht, nach der Erstellung eines neuen Benutzerkontos dem betreffenden Benutzer ein Passwort zu setzen (s. unten auf dieser Seite). Der Name von Datenbanken und Benutzern muss mit dem Namen des System-Benutzeraccounts übereinstimmen oder mit diesem und einem Nachfolgenden Unterstrich beginnen. Z.B. kann der System-Benutzer <em>bernd</em> die MySQL-Accounts <em>bernd</em> und <em>bernd_2</em> erzeugen.</p>');

+  In die leeren Eingabefelder können Sie den Namen eines neuen Benutzers bzw. einer neuen Datenbank eintragen. Sofern Sie noch keine Datenbank(en) oder Benutzer eingerichtet haben, erscheinen nur die Eingabefelder. Vergessen Sie nicht, nach der Erstellung eines neuen Benutzerkontos dem betreffenden Benutzer ein Passwort zu setzen (s. unten auf dieser Seite). Der Name von Datenbanken und Datenbank-Benutzern muss mit dem Namen des System-Benutzeraccounts übereinstimmen oder mit diesem und einem nachfolgenden Unterstrich beginnen. Z.B. kann der System-Benutzer <em>bernd</em> die MySQL-Accounts <em>bernd</em> und <em>bernd_2</em> erzeugen. Aufgrund einer Beschränkung des MySQL-Servers dürfen Benutzernamen allerdings zur Zeit nur 16 Zeichen lang sein.</p>');

   output('<form action="'.($debugmode ? '?debug': '').'" method="post">

   '.generate_form_token('mysql_databases_access').'