webinterface.git

@@ -75,13 +75,11 @@ function random_string($nc, $a='abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUV

 function are_you_sure($query_string, $question)

 {

-  global $debugmode;

-  if ($debugmode)

-    $query_string = 'debug&'.$query_string;

+  $query_string = encode_querystring($query_string);

   $token = random_string(20);

   $_SESSION['are_you_sure_token'] = $token;

   output("<h3>Sicherheitsabfrage</h3>

-    <form action=\"?{$query_string}\" method=\"post\">

+    <form action=\"{$query_string}\" method=\"post\">

     <div class=\"confirmation\">

       <div class=\"question\">{$question}</div>

       <p class=\"buttons\">

@@ -145,31 +143,40 @@ function check_form_token($form_id, $formtoken = NULL)

 }

-

-function internal_link($file, $label, $querystring = '', $attribs = '')

+function encode_querystring($querystring)

 {

-  $debugstr = '';

   global $debugmode;

   if ($debugmode)

-    $debugstr = 'debug&';

-  $querystring = str_replace('&', '&', $querystring);

+    $querystring = 'debug&'.$querystring;

+  $query = explode('&', $querystring);

+  $new_query = array();

+  foreach ($query AS $item)

+    if ($item != '')

+    {

+      list($key, $val) = explode('=', $item, 2);

+      $new_query[] = $key.'='.($val);

+    }

+  $querystring = implode('&', $new_query);

+  if ($querystring)

+    $querystring = '?'.$querystring;

+  

+  return $querystring;

+}

+

-  return "<a href=\"{$file}?{$debugstr}${querystring}\" {$attribs} >{$label}</a>";

+

+function internal_link($file, $label, $querystring = '', $attribs = '')

+{

+  $querystring = encode_querystring($querystring);

+  return "<a href=\"{$file}{$querystring}\" {$attribs} >{$label}</a>";

 }

 function html_form($form_id, $scriptname, $querystring, $content)

 {

-  $debugstr = '';

-  global $debugmode;

-  if ($debugmode)

-    $debugstr = 'debug&';

-  $querystring = str_replace('&', '&', $querystring);

-  $qmark = '?';

-  if ($debugstr == '' && $querystring == '')

-    $qmark = '';

+  $querystring = encode_querystring($querystring);

   $ret = '';

-  $ret .= '<form action="'.$scriptname.$qmark.$debugstr.$querystring.'" method="post">'."\n";

+  $ret .= '<form action="'.$scriptname.$querystring.'" method="post">'."\n";

   $ret .= '<p style="display: none;"><input type="hidden" name="formtoken" value="'.generate_form_token($form_id).'" /></p>'."\n";

   $ret .= $content;

   $ret .= '</form>';

@@ -144,6 +144,23 @@ function check_path( $input )

 }

+function in_homedir($path)

+{

+  DEBUG("Prüfe »{$path}«");

+  if (! check_path($path))

+  {

+    DEBUG('Kein Pfad');

+    return False;

+  }

+  if (! isset($_SESSION['userinfo']['homedir']))

+  {

+    DEBUG("Kann homedir nicht ermitteln");

+    return False;

+  }

+  return strncmp($_SESSION['userinfo']['homedir'], $path, count($_SESSION['userinfo']['homedir'])) == 0;

+}

+

+

 function check_emailaddr( $input )

 {

   return (bool) filter_var($input, FILTER_VALIDATE_EMAIL) == $input;

@@ -21,7 +21,7 @@ if ($_GET['type'] == 'dyndns') {

     $sure = user_is_sure();

     if ($sure === NULL)

     {

-      are_you_sure("type=dyndns&action=delete&id={$id}", "Möchten Sie den DynDNS-Account wirklich löschen?");

+      are_you_sure("type=dyndns&action=delete&id={$id}", "Möchten Sie den DynDNS-Account wirklich löschen?");

     }

     elseif ($sure === true)

     {

@@ -114,7 +114,7 @@ elseif (isset($_GET['action']) && $_GET['action'] == 'delete' && $_GET['account'

     $_GET['account'] = (int) $_GET['account'];

     $account = get_mailaccount($_GET['account']);

     $enabled = ($account['enabled'] ? 'Ja' : 'Nein');

-    are_you_sure("action=delete&account={$_GET['account']}", '

+    are_you_sure("action=delete&account={$_GET['account']}", '

     <p>Soll der folgende Account wirklich gelöscht werden?</p>

     <table style="margin-bottom: 1em;">

       <tr><td>Benutzername:</td>

@@ -78,7 +78,7 @@ elseif ($_GET['action'] == 'delete')

   $sure = user_is_sure();

   if ($sure === NULL)

   {

-    are_you_sure("action=delete&id={$account['id']}", "Möchten Sie die E-Mail-Adresse »{$account_string}« wirklich löschen?");

+    are_you_sure("action=delete&id={$account['id']}", "Möchten Sie die E-Mail-Adresse »{$account_string}« wirklich löschen?");

   }

   elseif ($sure === true)

   {

@@ -11,7 +11,7 @@ if ($_GET['action'] == 'delete')

   $sure = user_is_sure();

   if ($sure === NULL)

   {

-    are_you_sure("action=delete&id={$entry['id']}", "Möchten Sie die E-Mail-Adresse »{$entry['local']}@{$entry['domain']}« von der Ausnahmeliste entfernen?");

+    are_you_sure("action=delete&id={$entry['id']}", "Möchten Sie die E-Mail-Adresse »{$entry['local']}@{$entry['domain']}« von der Ausnahmeliste entfernen?");

   }

   elseif ($sure === true)

   {

@@ -29,7 +29,7 @@ elseif ($_GET['action'] == 'delete')

   $sure = user_is_sure();

   if ($sure === NULL)

   {

-    are_you_sure("action=delete&id={$cert['id']}", "Möchten Sie das Zertifikat »{$cert['dn']}« wirklich löschen?");

+    are_you_sure("action=delete&id={$cert['id']}", "Möchten Sie das Zertifikat »{$cert['dn']}« wirklich löschen?");

   }

   elseif ($sure === true)

   {

@@ -56,7 +56,7 @@ elseif ($_GET['action'] == 'delete')

   $sure = user_is_sure();

   if ($sure === NULL)

   {

-    are_you_sure("action=delete&account={$_GET['account']}", "Möchten Sie den Account »{$account_string}« wirklich löschen?");

+    are_you_sure("action=delete&account={$_GET['account']}", "Möchten Sie den Account »{$account_string}« wirklich löschen?");

   }

   elseif ($sure === true)

   {

@@ -19,7 +19,7 @@ if (isset($_GET['action']))

       $sure = user_is_sure();

       if ($sure === NULL)

       {

-        are_you_sure("action=delete_db&db={$_GET['db']}", "Möchten Sie die Datenbank »{$_GET['db']}« wirklich löschen?");

+        are_you_sure("action=delete_db&db={$_GET['db']}", "Möchten Sie die Datenbank »{$_GET['db']}« wirklich löschen?");

         $output_something = false;

       }

       elseif ($sure === true)

@@ -40,7 +40,7 @@ if (isset($_GET['action']))

       $sure = user_is_sure();

       if ($sure === NULL)

       {

-        are_you_sure("action=delete_user&user={$_GET['user']}", "Möchten Sie den Benutzer »{$_GET['user']}« wirklich löschen?");

+        are_you_sure("action=delete_user&user={$_GET['user']}", "Möchten Sie den Benutzer »{$_GET['user']}« wirklich löschen?");

         $output_something = false;

       }

       elseif ($sure === true)

@@ -69,7 +69,7 @@ elseif ($_GET['action'] == 'delete')

   $sure = user_is_sure();

   if ($sure === NULL)

   {

-    are_you_sure("action=delete&account={$_GET['account']}", "Möchten Sie den Account »{$account_string}« wirklich löschen?");

+    are_you_sure("action=delete&account={$_GET['account']}", "Möchten Sie den Account »{$account_string}« wirklich löschen?");

   }

   elseif ($sure === true)

   {

@@ -211,7 +211,7 @@ elseif ($_GET['action'] == 'deletealias')

   $sure = user_is_sure();

   if ($sure === NULL)

   {

-    are_you_sure("action=deletealias&alias={$_GET['alias']}", "Möchten Sie das Alias »{$alias_string}« für die Subdomain »{$vhost_string}« wirklich löschen?");

+    are_you_sure("action=deletealias&alias={$_GET['alias']}", "Möchten Sie das Alias »{$alias_string}« für die Subdomain »{$vhost_string}« wirklich löschen?");

   }

   elseif ($sure === true)

   {

@@ -236,7 +236,7 @@ elseif ($_GET['action'] == 'delete')

   $sure = user_is_sure();

   if ($sure === NULL)

   {

-    are_you_sure("action=delete&vhost={$_GET['vhost']}", "Möchten Sie die Subdomain »{$vhost_string}« wirklich löschen?");

+    are_you_sure("action=delete&vhost={$_GET['vhost']}", "Möchten Sie die Subdomain »{$vhost_string}« wirklich löschen?");

   }

   elseif ($sure === true)

   {

@@ -3,6 +3,7 @@

 require_once('session/start.php');

 require_once('freewvs.php');

+require_once('webapp-installer.php');

 require_role(array(ROLE_SYSTEMUSER));

@@ -30,11 +31,12 @@ $results = load_results();

 output('<h3>Aktuell installierte Web-Anwendungen</h3>

 <p>Die folgenden Web-Anwendungen wurden beim letzten Programmdurchlauf gefunden. Diese Liste wird i.d.R. täglich aktualisiert.</p>');

 foreach ($results AS $app) {

+  $url = get_url_for_dir($app['directory']);

   output("<div class='freewvs freewvs-{$app['state']}'>\n");

   if ($app['state'] == 'ok') {

     output("<img src='{$prefix}images/ok.png' />\n");

     output("<p><strong>{$app['appname']} {$app['version']}</strong></p>\n");

-    output("<p>Gefunden in {$app['directory']}</p>\n");

+    output("<p>Gefunden in {$app['directory']} (<a href=\"{$url}\">{$url}</a>)</p>\n");

     output("<p>Diese Anwendung ist aktuell und hat keine allgemein bekannten Sicherheitsprobleme.</p>\n");

   }

   else {

@@ -45,7 +47,7 @@ foreach ($results AS $app) {

     }

     output("<img src='{$prefix}images/error.png' />\n");

     output("<p><strong>{$app['appname']} {$app['version']}</strong></p>\n");

-    output("<p>Gefunden in {$app['directory']}</p>\n");

+    output("<p>Gefunden in {$app['directory']} (<a href=\"{$url}\">{$url}</a>)</p>\n");

     if ($app['safeversion'] != '') {

       output("<p>Diese Anwendung ist von Sicherheits-Problemen betroffen. Ein <strong>Update auf Version {$app['safeversion']}</strong> wird dringend empfohlen. Prüfen Sie anhand der unten genannten Referenz welche Gefahren von dieser Anwendung momentan ausgehen.</p>\n");

     } else {

@@ -53,7 +55,12 @@ foreach ($results AS $app) {

     }

     output("<p><strong>Referenz zu diesem Sicherheitsproblem: <a href='{$vulnlink}'>{$app['vulninfo']}</a></strong></p>");

     if ($doclink != NULL)

-      output('<p><strong>Hinweis:</strong> Um Ihnen das Upgrade leichter zu machen, möchten wir Sie auf eine <a href="'.$doclink.'">deutschsprachige Upgrade-Anleitung</a> aufmerksam machen.</p>');

+      output('<p><strong>Hinweis:</strong> Um Ihnen das Upgrade leichter zu machen, möchten wir Sie auf eine <a href="'.$doclink.'">deutschsprachige Upgrade-Anleitung</a> aufmerksam machen.</p>'."\n");

+    $up = upgradeable($app['appname'], $app['version']);

+    if ($up)

+    {

+      output('<p>'.internal_link('requestupdate', 'Update automatisch durchführen', "dir={$app['directory']}&app={$up}")."</p>\n");

+    }

   }

   output("</div>\n");

   #output("<tr><td>{$app['appname']} ({$app['version']})</td><td>{$app['state']}</td></tr>");

@@ -13,6 +13,54 @@ function create_new_webapp($appname, $directory, $url, $data)

 }

+function request_update($appname, $directory, $url)

+{

+  $username = mysql_real_escape_string($_SESSION['userinfo']['username']);

+  $appname = mysql_real_escape_string($appname);

+  $directory = mysql_real_escape_string($directory);

+  $url = maybe_null(mysql_real_escape_string($url));

+  db_query("INSERT INTO vhosts.webapp_installer VALUES (NULL, '{$appname}', '{$directory}', {$url}, 'old', '{$username}', NULL)");

+}

+

+

+function upgradeable($appname, $version)

+{

+  DEBUG("Is {$appname}-{$version} upgradeable?");

+  if ($appname == 'Drupal')

+  {

+    DEBUG("found Drupal!");

+    if (substr($version, 0, 2) == '6.')

+    {

+      DEBUG("found Drupal-6.*!");

+      return 'drupal6';

+    }

+    DEBUG("Version: ".substr($version, 0, 2));

+  }

+  DEBUG("found no upgradeable webapp!");

+  return NULL;

+}

+

+

+function get_url_for_dir($docroot, $cutoff = '')

+{

+  if (substr($docroot, -1) == '/')

+    $docroot = substr($docroot, 0, -1);

+  $docroot = mysql_real_escape_string($docroot);

+  $result = db_query("SELECT `ssl`, IF(FIND_IN_SET('aliaswww', options), CONCAT('www.',fqdn), fqdn) AS fqdn FROM vhosts.v_vhost WHERE docroot IN ('{$docroot}', '{$docroot}/') LIMIT 1");

+  if (mysql_num_rows($result) < 1)

+  {

+    if (!strstr($docroot, '/'))

+      return NULL;

+    return get_url_for_dir(substr($docroot, 0, strrpos($docroot, '/')), substr($docroot, strrpos($docroot, '/')).$cutoff);

+  } 

+  $tmp = mysql_fetch_assoc($result);

+  $prefix = 'http://';

+  if ($tmp['ssl'] == 'forward' || $tmp['ssl'] == 'https')

+    $prefix = 'https://';

+  return $prefix.$tmp['fqdn'].$cutoff;

+}

+

+

 function create_webapp_mysqldb($handle)

 {

   // dependet auf das mysql-modul

@@ -0,0 +1,34 @@

+<?php

+require_once('session/start.php');

+require_once('webapp-installer.php');

+

+require_role(ROLE_SYSTEMUSER);

+

+

+$directory = $_GET['dir'];

+

+if (! in_homedir($directory))

+  system_failure('Pfad nicht im Homedir oder ungültige Zeichen im Pfad');

+

+$app = $_GET['app'];

+verify_input_general($app);

+

+

+$sure = user_is_sure();

+if ($sure === NULL)

+{

+  are_you_sure("dir={$directory}&app={$app}", "Möchten Sie ein Update der Anwendung »{$app}« im Verzeichnis »{$directory}« automatisch durchführen lassen?");

+}

+elseif ($sure === true)

+{

+  request_update($app, $directory, get_url_for_dir($directory));

+  if (! $debugmode)

+    header("Location: freewvs");

+}

+elseif ($sure === false)

+{

+  if (! $debugmode)

+    header("Location: freewvs");

+}

+

+