WE Installation unter Suhosin

[r_kempf]

Hallo Community,
wir müssen beim Provider checkdomain.de ein WE-CMS aufbauen. Leider läuft dort Suhosin und bei der Installation mit dem Onlineinstaller gab es schon Probleme, so dass wir WE (6.4.4.1) manuell installiert haben.
Jetzt möchten wir eine bereits vorhandene Template-Entwicklung über die Backup-Wiederherstellung einspielen. Klappt auch, bis auf den Rebuild. Er bleibt bei 3% stehen. Im Error-Log steht folgendes:

include(): Failed opening 'SECURITY_REPL_DOC_ROOT/webEdition/we/templates/templates/navigation.php' for inclusion (include_path='SECURITY_REPL_DOC_ROOT/webEdition/lib/:SECURITY_REPL_DOC_ROOT/webEdition/apps/:.:/home/usaeykad/phpinclude:/usr/share/php5.5/lib/php')

Kann mir jemand sagen, wo das Problem liegt? Ich möchte alle Möglichkeiten der Lauffähigkeit ausschöpfen, bevor ich einen Provider-Wechsel vorschlage. Hat jemand vielleicht schom Erfahrungen mit checkdomain?

viele Grüße
rkempf

[mokraemer]

Hallo Regina,
prinzipiell läuft WE auch mit Suhosin, wenn das richtig konfiguriert ist. Nur das ist eben schwierig, weil es eigentlich an jede Anwendung angepaßt werden muß. Suhosin wirft dann teilweise Eingaben weg, weil die Eingaben zu groß, zu verschachtelt etc. sind - kann also sein, wenn du in WE die 10 Blockebene einfügst, daß dies nicht mehr geht (Daten nicht übernommen werden, oder andere gelöscht werden), weil suhosin die Daten einfach wegwirft.

Dein anderer Fehler könnte eine Abhängigkeit sein, die WE derzeit beim Rebuild nicht (immer) sauber auflöst. Eine Vorlage von dir benötigt die andere Vorlage "templates/navigation.tmpl", die aber noch nicht erstellt wurde. Die Ausgabe klingt mir aber eher nach einem "normalen" Fehler, d.h. die Anzeige wäre nach dem Rebuild (bis zum nächsten kaputt), er würde aber weiter laufen.

Wahrscheinlicher ist hier, daß es entweder einen Serverfehler gab, der nicht von WE geloggt werden konnte, oder daß hier suhosin bspw. in die URL eingegriffen hat, weil ihm die GET-/POST-Parameter nicht gepaßt haben.

[r_kempf]

vielen Dank für Deine Rückmeldung!!!
ich hab mal versucht das navigations template include aus der vorlage zu löschen. aber soweit ich das sehe, lassen sich keine templates mit we-tags speichern. man sieht kurz die anfrage an den server, aber es passiert nichts.

Neben Suhosin steht in den Systeminfos noch eine Warnung: Zend Framework Version 1.12.17dev
Kann es auch daran liegen?

[WBTMagnum]

Hallo Regina,

Hast du Zugriff auf die Serverlogs? Dann kannst du dir die Suhosin Meldungen in den Logs anschauen. Die geben in der Regel Aufschluss über die Ursache.


HTH,
Sascha

[r_kempf]

Hallo Sascha,

nein, an die Error-Logs komme ich nicht ran und der Domaincheck Support sagt auch Suhosin kann nicht deaktiviert werden. Ich bin nochmal alle PHP-Einstellungen durchgegangen, es ist ansonsten alles korrekt eingestellt (PHP 5.5).
Das hat keinen Zweck, ich geb auf und werde den Providerwechsel zu DF empfehlen.

Das ist ja echt Mist mit der PHP-Erweiterung, wenn das zu solchen Schwierigkeiten führt. Frag mich, ob die Provider sich da einen Gefallen mit tun.

LG
Regina

[mokraemer]

Es gibt bei suhosin ja mehrere Gangarten:
1. steht teilweise in der phpinfo suhosin drin, wenn das Modul geladen ist, aber nicht aktiv
2. kann UND sollte man vor der Aktivierung den Simulationsmodus einschalten und dann muß das suhosin Log überwacht werden um die Parameter an die Anwendung anzupassen
3. auch wenn es läuft muß das log regelmäßig geprüft werden um damit zum einen Angriffe anzuschauen und zum anderen zu überprüfen ob doch etwas gefangen wurde was kein Angriff war, wodurch ja immer ein Fehlverhalten einhergeht.

Die Standardwerte die ich von Suhosin kenne waren alle eher auf eine Mini-Seite ausgelegt und def. nicht auf ein CMS. Das man es nicht deaktivieren kann stimmt zum Teil, hängt etwas von der Config selbst ab, generell kann man es nicht über die htaccess o.ä. steuern weil zu dem Zeitpunkt einige Checks bereits durch sind.

Bspw. suhosin.post.max_array_index_length (name eines Array-Feldes) - default 64, das könnte bei einem verschachtelten Block und einem etwas längeren Namen schon knapp sein. Oder auch suhosin.post.max_name_length das gleiche nur für das eigentliche Feld.

Und davon gibt es ca. 20 Einstellungen. Die alle Probleme machen können, weil dann die übermittelten Daten abgeschnitten werden.

Providerwechsel wäre hier wirklich ratenswert - man kann den Provider damit durchaus auch konfrontieren - wenn man ein guter Kunde ist, hat er vielleicht Interesse das man bleibt.

[r_kempf]

Wir haben noch zwei weitere WE-Installation bei anderen Providern mit suhosin on, die ohne Probleme laufen (Hosteurope und all-inkl.com).
Ich hab nochmal recherchiert. checkdomain scheint sein Hauptgeschäft im Domainhosting ähnlich wie uniteddomains zu sehen. Ich denke, der Kunde ist mit einer komplexen CMS-Anwendung bei DF besser aufgehoben.

[mokraemer]

ich sag ja, es kann laufen, aber man sollte sich die Parameter anschauen. Sinnvoll wäre es eher, wenn man die Einstellungen zw. Front und Backend unterscheiden könnte.
Wenn man die Parameter zu weit fast, muß man sich die Frage gefallen lassen, warum man es dann überhaupt anmacht. Die SQL-Injection Erkennung und so 2-3 andere Einstellungen sind ganz gut, aber die Limitierung der Eingabeparameter halte ich eher für "überholt" bzw. zu schwer generisch einzustellen. Und von extern ja quasi nicht machbar, dazu muß man eigentlich die Anwendung kennen. Wie auch immer, dann versuch besser ein Hosting das du kennst und mit dem du bessere Erfahrung hast.