webinterface.git

@@ -17,7 +17,7 @@ function random_string($nc, $a='abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUV

 function are_you_sure($query_string, $question)

 {

   $token = random_string(20);

-  $_SESSION['random_token'] = $token;

+  $_SESSION['are_you_sure_token'] = $token;

   output("<form action=\"?{$query_string}\" method=\"post\">\n");

   output("<p class=\"confirmation\">{$question}<br />\n");

   output("<input type=\"hidden\" name=\"random_token\" value=\"{$token}\" />\n");

@@ -30,7 +30,7 @@ function user_is_sure()

 {

   if (isset($_POST['really']))

   {

-    if ($_POST['random_token'] == $_SESSION['random_token'])

+    if ($_POST['random_token'] == $_SESSION['are_you_sure_token'])

       return true;

     else

       system_failure("Possible Cross-site-request-forgery detected!");

@@ -43,4 +43,38 @@ function user_is_sure()

+function generate_form_token($form_id)

+{

+  require_once("inc/debug.php");

+  $sessid = session_id();

+  if ($sessid == "") 

+  {

+    DEBUG("Uh? Session not running? Wtf?");

+    return '';

+  }

+  if (! isset($_SESSION['session_token']))

+    $_SESSION['session_token'] = random_string(10);

+  $session_token = $_SESSION['session_token'];

+  $formtoken = hash('sha256', $sessid.$form_id.$session_token);

+  return '<input type="hidden" name="formtoken" value="'.$formtoken.'" />'."\n";

+}

+

+

+function check_form_token($form_id)

+{

+  $formtoken = $_POST['formtoken'];

+  $sessid = session_id();

+  if ($sessid == "") 

+  {

+    DEBUG("Uh? Session not running? Wtf?");

+    return '';

+  }

+

+  $session_token = $_SESSION['session_token'];

+  $correct_formtoken = hash('sha256', $sessid.$form_id.$session_token);

+

+  if (! ($formtoken == $correct_formtoken))

+    system_failure("Possible cross-site-request-forgery!");

+}

+

 ?>

@@ -35,6 +35,25 @@ function get_domain_names($customerno, $uid = NULL)

 }

+

+function get_domain_name($domid)

+{

+  if ($domid === NULL)

+    return 'schokokeks.org';

+  $domid = (int) $domid;

+  static $domainlist = array();

+

+  $query = "SELECT CONCAT_WS('.', domainname, tld) AS domainname FROM kundendaten.domains WHERE id=$domid;";

+  DEBUG($query);

+  $result = mysql_query($query);

+  if (@mysql_num_rows($result) > 0)

+    return mysql_fetch_object($result)->domainname;

+  else

+    return NULL;

+

+}

+

+

 /*

 function get_mail_virtualdomain($domain)

 {

@@ -21,6 +21,7 @@ if (isset($_GET['action']) && $_GET['action'] == 'save')

 {

   if (isset($_GET['id']))

   {

+    check_form_token('imap_accounts_edit');

     $account = $_POST['user'].'@'.$_POST['domain'];

     if (isset($_POST['enabled']) && $_POST['enabled'] == 'true')

       $enabled = 'Y';

@@ -47,6 +48,7 @@ if (isset($_GET['action']) && $_GET['action'] == 'save')

   }

   elseif (isset($_POST['create']))

   {

+    check_form_token('imap_accounts_create');

     $account = $_POST['user'].'@'.$_POST['domain'];

     if (isset($_POST['enabled']) && $_POST['enabled'] == 'true')

       $enabled = 'Y';

@@ -75,6 +77,7 @@ elseif (isset($_GET['action']) && $_GET['action'] == 'create')

   output('<h3>E-Mail-Account anlegen</h3>

 <p>Hier k&ouml;nnen Sie ein neues POP3/IMAP-Konto anlegen.</p>

   <form action="accounts.php?action=save&'.$param.'" method="post">

+  '.generate_form_token('imap_accounts_create').'

   <table style="margin-bottom: 1em;">

   <tr><th>Einstellung:</th><th>Wert:</th><th>&nbsp;</th></tr>

   <tr>

@@ -112,6 +115,7 @@ elseif (isset($_GET['action']) && $_GET['action'] == 'delete' && $_GET['account'

 {

   if ($_POST['confirm'] == 'yes')

   {

+    check_form_token('imap_accounts_delete');

     delete_mailaccount($_GET['account']);

     if (! $debugmode)

       header('Location: accounts.php');

@@ -126,6 +130,7 @@ elseif (isset($_GET['action']) && $_GET['action'] == 'delete' && $_GET['account'

     $account = get_mailaccount($_GET['account']);

     $enabled = ($account['enabled'] ? 'Ja' : 'Nein');

     output('<form action="accounts.php?action=delete&amp;account='.$_GET['account'].'&amp;'.$param.'" method="post">

+    '.generate_form_token('imap_accounts_delete').'

     <table style="margin-bottom: 1em;">

     <tr><td>Benutzername:</td>

       <td>'.$account['account'].'</td>

@@ -153,6 +158,7 @@ elseif (isset($_GET['edit']))

   list($username, $domain) = explode('@', $account['account'], 2);

   $enabled = ($account['enabled'] ? ' checked="checked"' : '');

   output('<form action="accounts.php?action=save&amp;id='.$_GET['edit'].'&amp;'.$param.'" method="post">

+  '.generate_form_token('imap_accounts_edit').'

   <table style="margin-bottom: 1em;">

   <tr><th>Einstellung:</th><th>alter Wert:</th><th>neuer Wert:</th><th>&nbsp;</th></tr>

   <tr><td>Benutzername:</td><td><input type="text" id="old_account" name="old_account" value="'.$account['account'].'" readonly="readonly" style="background-color: #C0C0C0;" /></td>

@@ -9,6 +9,7 @@ require_role(array(ROLE_SYSTEMUSER, ROLE_CUSTOMER));

 if ($_POST['password1'] != '')

 {

+  check_form_token('index_chpass');

   $result = NULL;

   switch ($_SESSION['role'])

   {

@@ -51,6 +52,7 @@ if ($_SESSION['role'] == ROLE_SYSTEMUSER)

 output('<h3>Passwort &auml;ndern</h3>

 <p>Hier k&ouml;nnen Sie Ihr Passwort &auml;ndern.</p>

 <form method="post" action="'.($debugmode ? '?debug' : '').'">

+'.generate_form_token('index_chpass').'

 <table>

   <tr>

     <td>bisheriges Passwort:</td>  <td><input type="password" name="old_password" value="" /></td>

@@ -52,6 +52,7 @@ if (isset($_GET['action']))

       }

       break;

     case 'change_pw':

+      check_form_token('mysql_databases_change_pw');

       set_mysql_password($_POST['mysql_username'], $_POST['mysql_password']);

       header("Location: ?");

       $output_something = false;

@@ -66,6 +67,7 @@ $users = get_mysql_accounts($_SESSION['userinfo']['uid']);

 if (isset($_POST['access']))

 {

+  check_form_token('mysql_databases_access');

   /* Eine neue Datenbank */

   if ($_POST['new_db'] != '')

   {

@@ -114,6 +116,7 @@ if ($output_something)

   In die leeren Eingabefelder können Sie den Namen eines neuen Benutzers bzw. einer neuen Datenbank eintragen. Sofern Sie noch keine Datenbank(en) oder Benutzer eingerichtet haben, erscheinen nur die Eingabefelder. Vergessen Sie nicht, nach der Erstellung eines neuen Benutzerkontos dem betreffenden Benutzer ein Passwort zu setzen (s. unten auf dieser Seite). Der Name von Datenbanken und Benutzern muss mit dem Namen des System-Benutzeraccounts übereinstimmen oder mit diesem und einem Nachfolgenden Unterstrich beginnen. Z.B. kann der System-Benutzer <em>bernd</em> die MySQL-Accounts <em>bernd</em> und <em>bernd_2</em> erzeugen.</p>');

   output('<form action="'.($debugmode ? '?debug': '').'" method="post">

+  '.generate_form_token('mysql_databases_access').'

   <table>

   <tr><th>&nbsp;</th><th style="background-color: #729bb3; color: #fff;padding: 0.2em;" colspan="'.(count($users)+1).'">Benutzerkonten</th></tr>

   <tr><th style="background-color: #729bb3; color: #fff;padding: 0.2em; text-align: left;">Datenbanken</th>');

@@ -151,6 +154,7 @@ if ($output_something)

   <p>

   <form action="?action=change_pw'.($debugmode ? '&amp;debug': '').'" method="post">

+  '.generate_form_token('mysql_databases_change_pw').'

   <label for="username">Benutzername:</label>&nbsp;<select name="mysql_username" id="username" height="1">

   ');

   foreach ($users as $user)