FAQ

Es gibt bereits einige Ansätze zur Versionserkennung bei TYPO3, wie die Webseite www.t3versions.com von Torben Hansen, auf der man eine TYPO3-Version ermitteln lassen kann. Dabei wird jedoch nur die Major- und Minor-Version als Ergebnis angezeigt und nicht das konkrete Patch-Level ermittelt, welches für eine Aussage zur Aktualität der TYPO3-Version zwingend notwendig ist. 

Auch andere Sicherheitsforscher haben bereits Algorithmen für andere Systeme entwickelt (z. B. im Rahmen des Papers "Cross-Origin Web Service Identification“ von Dresen et al.), die aber in Ihrer Genauigkeit in unseren Tests noch Schwächen aufwiesen.

Die Genauigkeit der vom Tool erkannten Versionen wurde in einer Whiteboxumgebung (neu installierte TYPO3 Instanzen) getestet. Dabei hat das Tool rund 76% der 99 getesteten Versionen exakt erkannt. Bei den restlichen Versionen wurde ein Versionsbereich erkannt, in dem ebenfalls die richtige Version beinhaltet war. Ein Beispiel dafür wäre Version 9.5.12 von TYPO3. 
Das Tool hat dabei einen Bereich von 9.5.12 bis 9.5.13 erkannt. Zusätzlich wird der erkannte Versionsbereich intern validiert, um fehlerhafte Ausgaben zu verhindern.

Die Erkennung der eingesetzten TYPO3-Version erfolgt in mehreren Schritten. Wir beginnen dabei schon deutlich bevor Sie diese Webseite besucht haben.
 

Versionscharakteristiken indexieren

Um eine Aussage darüber zu treffen, welche TYPO3-Version genau vorliegt, identifizieren wir sogenannte Versionscharakteristiken bei TYPO3 automatisch. Die Versionscharakteristiken stellen dabei Fingerprints dar. Als Ausgangspunkt für die Erstellung der Charakteristika wird das offizielle TYPO3 Git-Repository genutzt. Hier können wir eine Liste aller existierenden Versionen sowie die Zustände einer Datei während einer spezifischen Version, abfragen. Wir werten dabei aus, welche Dateien in welcher Version erstellt, gelöscht, umbenannt, geändert oder unverändert geblieben sind. Wir beschränken uns bei der Versionserkennung auf solche Dateien, die öffentlich über den Webserver erreichbar sind.
 

Versionscharakteristiken bei Webseite erkennen

Wie bei jeder Software bringt ebenfalls ein CMS seine eigenen Dateien, vor allem für den Backendbereich, mit. Manche dieser Dateien sind unter speziellen Routen öffentlich abrufbar. Diese öffentlich abrufbaren Ressourcen eines CMS können durch die zuvor vorgenommene Indexierung der Versionscharakteristiken für die Erkennung der Version genutzt werden. Durch einen Algorithmus wird dabei die Abfrage dieser Dateien optimiert, um bei den Servern so wenig zusätzliche Last wie nur möglich zu erzeugen.

Wie bei jeder Software bringt ebenfalls ein CMS seine eigenen Dateien, vor allem für den Backendbereich, mit. Manche dieser Dateien sind unter speziellen Routen öffentlich abrufbar. Diese öffentlich abrufbaren Ressourcen eines CMS können durch die zuvor vorgenommene Indexierung der Versionscharakteristiken für die Erkennung der Version genutzt werden. 
Durch einen Algorithmus wird dabei die Abfrage dieser Dateien optimiert, um bei den Servern so wenig zusätzliche Last wie nur möglich zu erzeugen.