从 13.09.2016 开始 TYPO3 安全更新后该怎么办？

Question

我不明白上周的安全补丁：https://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2016-022/。我有一个旧的 TYPO3 6.2 安装。我已经截断了所有 cf_* 表并打开了 UID 2-6 的页面。没有 cHash。结果，我看到了 13 个 cf_cache_hash-entries。 现在我已经从前端的列表页面打开了一个详细信息页面。我在 URL 中看到一些参数，例如操作、控制器、当前显示记录的 UID 以及导致 cHash。 然后我将这些参数（不包括 id=x）复制到我的页面 2-6 的 URL。在 cf_cache_hash 我还有 13 条记录。所以，没有缓存泛滥。

或者我必须如何解释这句话：

具有有效 cHash 参数的链接会导致新生成的页面缓存 条目。由于 cHash 未绑定到特定页面，因此攻击者 可以对多个页面使用有效的 cHash 参数，从而导致 额外的无用页面缓存条目。

下一个问题：

如果使用了 realurl 之类的扩展，则需要刷新它们的 缓存（以及 TYPO3 缓存）

你能告诉我我/我们应该清理哪些表格吗？

• tx_realurl_urldecodecache
• tx_realurl_urlencodecache

也许还可以。但是 tx_realurl_pathcache 呢？当然，我可以清楚这一点，但是早期 realurl 配置的旧条目呢？如果我截断该表，这些旧条目将不再有效，并且不会再次构建它们。因此，旧的搜索引擎结果无效。

我们的一位客户提出的问题：是否足以清除后端的系统缓存，还是应该单击 Installtool 中的清除所有缓存？好的。 IMO，这还不够，必须直接在 DB 上截断表。对。

下一个：

这意味着如果此类 URL 被搜索引擎编入索引，来自 此搜索引擎最终会出现在无法正常工作的页面上。

嘿酷。现在？解决办法是什么？保持原样？ IMO 它取决于名为 pageNotFoundOnCHashError 的 InstallTool 设置。对吧？

请告诉我们该怎么做，并请添加更多详细信息如何处理。

斯蒂芬

Answer 1

对我来说，归结为（安装更新的 TYPO3 版本后）：

如果不使用realurl：启用

$GLOBALS['TYPO3_CONF_VARS']['FE']['cHashIncludePageId'] = true;

& 你可能已经“完成”了。当然，所有旧的谷歌点击都将完成，但在“公共”网站上，如果你没有运行 realurl（或类似的），你很可能永远不会关心谷歌

如果你在 6.2 上使用 realurl 1.X

不要启用配置（可能永远不会有合适的补丁）

两种选择：

1. 承担 DDOS 的风险
2. 使用来自https://github.com/mogic-le/typo3-realurl的1.x版本 如果我理解正确，如果缓存表没有命中，它将把 TYPO3 设置为 no_cache 模式；虽然这是一个性能问题，但它会阻止缓存表条目的生成（作为副作用）

如果你运行 7.6+ 和 realurl 2

1. 等待 realurl 2.1（并冒险？）
2. 更改缓存 框架到类似 memcached 的东西（有点建议 字里行间：如果您有一个无法使用的缓存后端 对于 DDOS，您不必真正关心）
3. 使用从 helhum （虽然我认为这对你没有一点帮助 链接）

Answer 2

Realurl >= 2.1.0 支持此核心选项。但建议您至少更新到 2.1.4，因为这可以修复各种其他 cHash 问题。