You can find .htaccess files across multiple folders with a default Magento 1 installation, not only in the root. For example the .htaccess file in the /var directory blocks access to all files in there. Don’t forget to block access to that directory in your Nginx configuration too! If you don’t block access people can access log files and even cached files. You may think that’s not dangerous but it is, with this exploit you can get the MySQL database credentials.

1. First, check if a website is vulnerable at magereport.com
2. Try to access the resource_config.json file by visiting http://website.com/var/resource_config.json
3. Copy and modify the media directory path from the resource_config.json file to something like: /home/users/username/website.com/app/etc (make sure it points to /app/etc)
4. Create a MD5 hash from that path, for example with http://www.md5.cz/ or generate it from the terminal: php -r "echo md5('PATH');" en replace the path, that will generate something like: 68095313d2b99db25e7ebcd5bc8d9642
5. Use the first 3 characters from that hash, with my example that will be 680
6. Visit http://website.com/var/cache/mage--2/mage---XXX_CONFIG_GLOBAL and replace the XXX with those 3 characters
7. Now you can search in the global configuration, you can find among other things the MySQL credentials here
8. Try to connect to the database remotely or search for a PhpMyAdmin or Adminer script

From that point the possibilities are endless as I’ve written before in my Hacking public GIT repositories post, from defacing to change payment provider credentials and further.

Why now publish this exploit? I’ve “created” it in 2015 but back then a lot of webshops where vulnerable. Meanwhile the percentage is pretty low so I thought; let’s share it with the world.

Do you need a security audit for your webshop? Contact me!

Het bericht [EN] Magento 1 cacheleak exploit verscheen eerst op Roy Duineveld.

Gulp / Grunt

Gulp en Grunt zijn “build systems” of “task runners”, hiermee kan je bestanden “watchen” en wanneer deze veranderen een taak uitvoeren. Tijdens het ontwikkelen is dit handig om bijvoorbeeld je LESS bestanden in de gaten te houden, wanneer deze veranderen kunnen deze automatisch omgezet worden naar CSS. Nadat het CSS is kan er nog een minifier overheen zodat het geheel nog verkleint wordt ook. Twee mooie voorbeelden van Gulp en Grunt taken zijn in het Magento Boilerplate template te vinden: gulpfile.js en gruntfile.js.

LiveReload / BrowserSync

Tijdens het ontwikkelen switch je continu tussen je editor/IDE en je browser(s) om te kijken of het resultaat naar wens is. Dit switchen kost niet heel veel tijd maar kan sneller! LiveReload of BrowsesrSync kan je aan je Gulp of Grunt taak hangen en zorgt ervoor dat wanneer een bestand wijzigt automatisch je browser ververst wordt. CSS kan “geïnjecteerd” worden zodat de pagina niet eens herladen hoeft te worden. In het verleden heb ik LiveReload gebruikt vanuit het Magento Boilerplate, inmiddels overgestapt naar BrowserSync omdat daarbij géén browser plugin nodig is, het op meerdere apparaten tegelijk werkt en het acties op een pagina ook synchroniseert (scrollen, klikken en typen). Een korte video tutorial van Tuts+:

Bless

Recent liep ik tegen het probleem aan dat niet alle styling in Internet Explorer 9 tevoorschijn kwam. Tja, sommige klanten hebben nog veel bezoekers vanuit IE9 en dan dient IE9 gewoon ondersteund te worden. Klant is koning! Na veel proberen met allerlei crappy tools maar even een image erbij gepakt van Windows 7 met Internet Explorer 9 en in Virtual Box geladen. Na veel geprobeerd te hebben bleek IE9 een limiet van CSS regels te hebben waardoor de helft van de styling maar geladen werd. De oplossing hiervoor is Bless! Deze splitst de CSS op in meerdere bestanden waardoor IE9 niet meer onderuit gaat. Tevens kan Bless gebruikt worden vanuit Gulp of Grunt waardoor dit automatisch geregeld wordt.

Mijn ideale ontwikkel omgeving? Sublime Text 3, Gulp (met LESS, Minify, Uglify, Bless en BrowserSync), GIT (vanuit Cygwin) en WAMP!

Het bericht Gulp / Grunt en BrowserSync / LiveReload verscheen eerst op Roy Duineveld.

Bootstrap 3 met LESS

Dat kan zeker anders! Gebruik de LESS bestanden van Bootstrap! LESS moet wél ge-compiled worden naar gewoon CSS, hiervoor zijn tal van plugins te vinden voor populaire systemen als WordPress en Magento, maar nog handiger is Grunt of Gulp! Alleen door LESS te gebruiken ben je er natuurlijk niet, daarvoor zijn er in LESS mixins! In de Bootstrap documentatie zie je op meerdere plekken voorbeelden staan met “Usage as a Mixin” als commentaar erbij. Hiermee kan je classes aan selectors hangen.

Bootstrap classes aan CSS selectors

Wanneer je een afbeelding ronde hoeken wilt geven heeft Bootstrap hier de “img-rounded” class voor, in de documentatie staat dat deze als volgt gebruikt kan worden:

<img src="..." alt="..." class="img-rounded">

Wanneer je alle afbeeldingen op je website ronde hoeken wilt geven, kan dit middels LESS i.c.m. Bootstrap als volgt gedaan worden:

img {
	.img-rounded();
}

Op die manier zijn de classes in de HTML niet nodig!

Bootstrap Grid met mixins

Niet alleen de “eenvoudige” dingen uit Bootstrap kunnen op deze manier gebruikt worden, maar ook bijvoorbeeld het Bootstrap Grid! Een stukje HTML als voorbeeld:

<div class="container">
	<div class="menu"></div>
	<div class="content"></div>
</div>

Wanneer je van de container een row wilt maken en van menu en content een kolom dan kan je dit als volgt doen:

.container {
	.make-row();

	.menu {
		.make-md-column(3);
	}

	.content {
		.make-md-column(9);
	}
}

Een heel mooi voorbeeld waar dit gebruikt wordt is het Magento Boilerplate!

Het bericht Geavanceerd Bootstrap 3 gebruik verscheen eerst op Roy Duineveld.

Magento module helemaal uitschakelen

Om een Magento module helemaal uit te schakelen (dus voor elke winkel binnen Magento) is de beste optie om deze in zijn module xml uit te schakelen. Te vinden in: “app/etc/modules/”, verander hier “active” naar “false”:

<active>false</active>

Magento module per winkel uitschakelen

Hier zijn meerdere mogelijkheden, wat je vaak ziet is dat modules een eigen configuratie in de backend hebben waarbij een module in- of uitgeschakeld kan worden, dit is dan ook per winkel in te stellen. Om dit voor elkaar te krijgen dien je de configuratie opties in je config of system.xml te definiëren en deze waardes uit te lezen in je code. Wanneer deze functionaliteit niet aanwezig is of je bezig bent met een eigen module is er een makkelijkere optie! Stel je gebruikt een observer om ergens op in te haken, bijvoorbeeld dit event:

<checkout_cart_add_product_complete>
	<observers>
		<bd_skipcart_observer>
			<type>singleton</type>
			<class>RD_Skipcart_Model_Observer</class>
			<method>afterAddToCart</method>
		</bd_skipcart_observer>
	</observers>
</checkout_cart_add_product_complete>

Dan staat de functionaliteit in je observer model, bijvoorbeeld:

<?php
class RD_Skipcart_Model_Observer extends Varien_Object
{
	public function afterAddToCart(Varien_Event_Observer $observer) {

		$response = $observer->getResponse();

		$response->setRedirect(Mage::getUrl('checkout/onepage'));
		Mage::getSingleton('checkout/session')->setNoCartRedirect(true);

	}
}

Zet hier een if statement omheen waarbij je de waarde uit de configuratie uitlees zoals aan het begin van dit bericht omschreven:

<?php
class RD_Skipcart_Model_Observer extends Varien_Object
{
	public function afterAddToCart(Varien_Event_Observer $observer) {

		if(!Mage::getStoreConfigFlag('advanced/modules_disable_output/RD_SkipCart')) {

			$response = $observer->getResponse();

			$response->setRedirect(Mage::getUrl('checkout/onepage'));
			Mage::getSingleton('checkout/session')->setNoCartRedirect(true);

		}
	}
}

Op deze manier kan je module functioneel in- en uitgeschakeld worden per winkel middels de al aanwezige functionaliteit in Magento.

Dit is naar mijn idee een veel nettere oplossing dan dat je elders op het internet tegen komt, bijvoorbeeld het idee van Inchoo welke je tegen komt als je zoekt naar deze functionaliteit.

Het bericht Magento module in- of uitschakelen per winkel verscheen eerst op Roy Duineveld.

Het probleem

Deze bug wordt veroorzaakt doordat de betaling geregistreerd wordt door de betalings-module en bij het aanmaken van een factuur nogmaals.

De oplossing

Op het moment dat een betaling geregistreerd wordt zou er gekeken moeten worden of er al een betaling geregistreerd is. Om dit voor elkaar te krijgen dient het “Order Invoice Model” ge-extend te worden waar de “pay” functie in zit. Om dit mooi op te lossen is het verstandig om een module te maken welke enkel die functie override. Een minder nette oplossing welke ik hier bespreek is de hele class kopiëren naar de “local” map en daar de functie aanpassen.

De eerste stap is de class kopiëren: “app/code/core/Mage/sales/model/order/Invoice.php”, maak hierna deze mappen structuur aan in de “local” folder, dus: “app/code/local/Mage/sales/model/order/” en zet de gekopieerde code in een nieuw bestand “Invoice.php”. Hierna de “pay” functie opzoeken en vervangen door:

<?php
/**
 * Pay invoice
 *
 * @return Mage_Sales_Model_Order_Invoice
 */
public function pay()
{
    if ($this->_wasPayCalled) {
        return $this;
    }
    $this->_wasPayCalled = true;

    $invoiceState = self::STATE_PAID;
    if ($this->getOrder()->getPayment()->hasForcedState()) {
        $invoiceState = $this->getOrder()->getPayment()->getForcedState();
    }

    $this->setState($invoiceState);

    $this->getOrder()->getPayment()->pay($this);

    if ($this->getOrder()->getTotalPaid() == $this->getOrder()->getGrandTotal()) {
        $this->getOrder()->setTotalPaid( $this->getOrder()->getTotalPaid() );
        $this->getOrder()->setBaseTotalPaid( $this->getOrder()->getBaseTotalPaid() );
    } else {
        $this->getOrder()->setTotalPaid( $this->getOrder()->getTotalPaid() + $this->getGrandTotal() );
        $this->getOrder()->setBaseTotalPaid( $this->getOrder()->getBaseTotalPaid() + $this->getBaseGrandTotal() );
    }

    Mage::dispatchEvent('sales_order_invoice_pay', array($this->_eventObject=>$this));
    return $this;
}

Toekomst

Of, en wanneer deze bug door Magento opgelost gaat worden is onbekend, maar mocht het opgelost worden in een toekomstige versie en je hebt bovenstaande oplossing gebruikt dan kan je tegen problemen aanlopen omdat mogelijk de class, of alleen de “pay” functie gewijzigd is. Nogmaals, het is aan te raden enkel de “pay” functie te override-n door zelf een module te maken!

Het bericht Magento bug, dubbel totaal betaald bedrag oplossing verscheen eerst op Roy Duineveld.