Webshop Beratung und Entwicklung in Wien

Etwas erklären übers Web

admin — Fri, 05 Mar 2010 22:11:40 +0000

Das ist oft einfacher gesagt als getan. Eine Beschreibung reicht oft nicht. Videos können genau zeigen wie etwas geht, aber sind oft zu genau, weil zuviele Details gezeigt werden, die nicht relevant sind.

Individuell angepasste Zeichnungen in einem Video sind oft am deutlichsten. Die Firma ixxie habe ich zufällig gefunden und die machen auf einer Webseite deutlich, warum solche Videos wirken.

Ist zwar holländisch, aber es ist klar, worum es geht.

http://www.ixxie.nl/

PHP-Datenbankzugriff über PDO

admin — Wed, 03 Mar 2010 13:46:55 +0000

Wie in einem anderen Posting erklärt ( http://donauweb.at/ebusiness-blog/2009/11/15/sicherheit-security-eines-webshops-verbessern/ ), gibt es bei PHP keine 100% Maßnahmen gegen SQL-Injection mit konventionellem Datenbankzugriff. Nur parametrisierte SQL-Befehle bieten mehr Sicherheit. Es ist daher empfehlenswert, nur noch PDO für Datenbankzugriffe zu verwenden.

Um Datenbankzugriffe mit PDO zu vereinfachen habe ich eine Bibliothek-Klasse geschrieben für den Zugriff auf eine Datenbank mittels PDO. Diese Klasse bietet Funktionalitäten wie bei ADODB. Die wichtigsten sind:

pdoGetAll($sql, $data) und pdoGetRow($sql, $data) liefern ein oder mehrere Datensätze als Array zurück.
Der SQL-Befehl kann Parameter beinhalten, deren Werte in $data mitgeliefert werden.
zB $sql = “select * from table where id=:id”
pdoGetAssoc($sql, $data) holt das gleiche Resultat wie pdoGetAll, jedoch wird die erste Spalte zum Index vom Array. Dadurch ist das Lesen von zB definierten ID-Werten nachher wesentlich einfacher.
pdoInsUpd($table, $data, $insert_or_update, $where) erstellt einen INSERT oder UPDATE SQL-Befehl an Hand der übergebenen Parameter und führt diesen Befehl aus.

Die Klasse kann als OpenSource downgeloadet werden.

User am Browser erkennen

admin — Wed, 24 Feb 2010 07:22:36 +0000

Der Browser schickt soviel spezifische Informationen mit, dass man einen einzelnen Benutzer oft nur am Browser erkennen kann.

Zusätzlich zum http-Header braucht man dazu noch ein Javascript, welches sich die installierten Fonts, Browser Plugins und SuperCookie-Infos holt.

Siehe hier: https://panopticlick.eff.org/

Wie mache ich einen Screencast?

admin — Wed, 27 Jan 2010 13:08:27 +0000

Dafür gibt es einige Tools:

http://www.tripwiremagazine.com/2010/01/28-seriously-useful-tools-for-creating-your-own-screencast.html

Streaming günstig

admin — Thu, 14 Jan 2010 09:51:03 +0000

Ab sofort gibt es bei Amazon über S3 und Cloudfront auch Video Streaming. Damit lohnt sich Streaming auch für Firmen, die nur wenig Videos haben.

Vorteile:
- Amazon verteilt den Content weltweit auf mehrere Server und daher ist die Distanz vom Browser zum Server geringer als wenn es nur einen Server weltweit gibt. Amazon schaut bei jedem Request nach, welcher Server am nächsten ist.
- Amazon verrechnet nur einen Preis pro Gigabyte (unter 20 Cent), es gibt sonst keine Kosten.

Tools zum Uploaden und Verwalten von Dateien in Amazon S3 und Cloudfront:
- Cloudberry S3 Explorer
- S3Fox (Addon für Firefox)

Beschreibungen wie man Flash verwaltet:
- Longtailvideo.com
- Amazon

Warum PDF mit PHP erstellen?

admin — Sat, 09 Jan 2010 17:09:41 +0000

Und warum sollte man ein PDF denn mit PHP erstellen? Man hat ja üblicherweise sein PDF aus einer anderen Applikation erstellt und will es nur auf den Webserver hochladen …

Google kann PDF-Dateien lesen und da PDF-Dateien meistens langlebiger sind als Webseiten werden diese PDF-Dateien von Google relativ hoch bewertet. Also gelten für PDF-Dateien die gleichen Regeln wie für HTML-Dateien:

Wichtige Stichwörter öfters verwenden, Links zur Website angeben, gerne auch Deeplinks (denn in Deeplink-URLs kommen die Stichwörter wieder vor).

Weiters will auch der Kunde vielleicht eine allgemeine Info zur Firma, wenn er ein PDF liest. Vielleicht holt er das PDF ja nicht von der Website der betreffenden Firma sondern über einen anderen Link (zB Google).

Aus obenstehenden Gründen macht es Sinn, PDF-Dateien, die man erstellt hat, mit PHP am Server nachzubearbeiten. Dabei werden neue Seiten mit diesen Informationen zugefügt.

PDF erstellen mit PHP

admin — Sat, 09 Jan 2010 17:01:04 +0000

Am besten geht das mit TCPDF. TCPDF kann aus HTML ein PDF erstellen und das erleichtert die Sache sehr. Natürlich kann TCPDF nicht alle HTML-Tags und Attribute, aber da man in PHP das HTML selber erstellen kann, ist das leicht zu berücksichtigen.

Wenn zusätzlich PDF-Dateien eingelesen werden müssen, um neue Seiten einzubinden, oder PDF-Dateien zu mergen, dann kann zusätzlich PDI verwendet werden. PDI kann PDF-Dateien einlesen. Das Zusammenspiel von PDI mit TCPDF ist problemlos. Wenn TCPDF inkludiert wird, bevor man ein PDI-Objekt instanziert, dann ist PDI automatisch von TCPDF vererbt.

http://www.tecnick.com/public/code/cp_dpage.php?aiocp_dp=tcpdf
http://www.setasign.de/products/pdf-php-solutions/fpdi/

Sicherheit/Security eines Webshops verbessern

admin — Sun, 15 Nov 2009 09:16:19 +0000

Wenn man einen Webshop laufend beobachtet, dann findet man immer wieder Angriffe auf den Webshop. Hacker versuchen, Schwachstellen des Webshops auszunutzen. Hier folgen einige Methoden, wie Hacker versuchen einzubrechen und was man dagegen unternehmen kann.

Angriffe auf Webshops und Schutz dagegen

Erklärung von Anriffsmöglichkeiten
http://www.suspekt.org/2009/06/16/dutch-php-conference-the-slides/

Viele interessatnte Artikel über Sicherheit
http://entwickler.de/zonen/portale/psecom,id,125,nodeid,.html
http://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet

Wie funktioniert SQL-Injection genau?
http://www.securiteam.com/securityreviews/5DP0N1P76E.html
http://unixwiz.net/techtips/sql-injection.html

Angriffserkennung in PHP
http://php-ids.org/

XSS-Tricks
http://ha.ckers.org/xss.html

XSS-Schutz in PHP
http://wiki.flux-cms.org/display/BLOG/XSS+Prevention

Die wohl beste Bibliothek zur Prüfung von Form-Eingaben
HtmlPurifier

top-15-free-sql-injection-scanners

Sicherheitsberater, die Angriffstests durchführen (Penetration Test)
(ich habe einige kontaktiert, bei diesen hatte ich ein gutes Gefühl)

http://www.redteam-pentesting.de
https://www.mark-semmler.de
http://www.internet-sicherheit.de
http://www.it-sec.de/