Die Surfbar Beta Tester gesucht

[Kraemer84]

Hi zusammen

Nach nun 1 1/4 Jahren Entwicklungszeit ist meine persönliche Loseseite fertig. Das einzige was daran noch das Vms ist, ist die Datenbankstruktur für vms_gebuchte_werbung.

Hierfür würde ich mich freuen wenn sich ein paar aktive Mitglieder zur Beta anmelden und mir mit Feedback helfen Lücken auszubessern.

Hier auch die Bitte.. wenn es Feedback über wirklich Sicherheitsrelevante Sachen sind dann bitte per Pn hier oder auf der Surfbar alles andere gern im Beitrag.

>> www.die-surfbar.de <<

Sprachen:

Die Surfbar ist mit 2 Anwendersprachen (Html & Css) und 4 Programmiersprachen (Php, Sql, Javascript & Jquery) angefertigt worden.

Features:

- Pn Center mit direkter Benachrichtigung einer Pn über den Titel
- Ajax-Shoutbox mit 60 Sek Reload
- Autosurf mit javascript, ajax und jquery sowie mit einem Surfticket zum einmaligen Öffnen des Autosurf´s
- Gästebuch
- Ralley (Der Ralleypot wird nach erfolgreicher Beta noch um ein gutes Stück angehoben, Ich denk da an ein bis zwei nuller extra ^^),
- Einzahl und Auszahlfunktion die später noch mit Paypal oder Ebesucher ausgebaut werden kann und den Klamm account nicht mehr zum Registrieren benötigt sowie Aktivierungsfreigabe und tägliche Begrenzung auf 5 Ein und Auszahlungen
- Nickpage (Profilbild etc)
- Werbung buchen für den Autosurf
- Kontoübersicht mit Bilanz

Funktionen die ich nicht ändern werde:

Es wird keine "Passwort vergessen" Funktion geben (Es gibt Passwortspeichern Funktionen in jedem Browser etc und im Notfall kann das mal über das Kontaktformular geklärt werden was auch nicht einreißen sollte), die jetzigen Sponsorenkampagnen laden alle mit 60 Sekunden.. (Sponsoren sollen nur die Grundfüllung darstellen und liefern bisher damit 12 1/2 h Surffülle)

Entwicklerinformationen:

Alle vom User angegeben Daten werden mit mysql_real_escape_string escapt. Einträge werden mit nl2br($nachricht); nach Absätzen formatiert. Smileys wie nicht anderst üblich mit str_replace ersetzt. html Elemente werden mit strip_tags entfernt. Apostrophe werden mit ENT_QUOTES entschärft. Verschlüsselungsmodus behalt ich jetzt mal aussen vor sowie die Anzahl der selbst erstellen Absicherungen die das Verhalten des Users beobachten und bei Verdacht sperren. Die Sitzung wird über eine Session im Link offen gehalten. Das wird zusätzlich mit einem Sicherheitsschlüssel abgesichert und ist nur auf eine einzige Ip Adresse geöffnet. Allgemeine Variablen werden global abgespeichert... Und noch ne menge anderes Zeugs das mir jetzt gerade nicht mehr einfällt .. achja meine größte schwäche .. die crons, alle funktionieren und wurden diesmal.. ^^ selbständig angepasst.


Eine Bitte an alle die es so viiiieeell besser können wie ich bitte konstruktive Kritik und hier nicht das zerreißen anfangen das ist einfach nur ein kontraproduktives Verhalten und keiner von euch möchte das.

Vielen Dank fürs reinschauen


>> www.die-surfbar.de <<

[rene_1992]

Hallo,

habe mich mal angemeldet und lasse Sie mal mitlaufen.

[isaack]

lasse es auch mal mit laufen :-)

[Sam2004]

Eine Bitte an alle die es so viiiieeell besser können wie ich bitte konstruktive Kritik und hier nicht das zerreißen anfangen das ist einfach nur ein kontraproduktives Verhalten und keiner von euch möchte das.

Ist ja auch schon ein widerspruch in sich^^ Entweder magst Feedback haben oder nicht.
Man sollte sich auch mit negativen Feedback auseinander setzen können, ohne sich angegriffen zu fühlen

Deine AGB bedarf es auch einer Überarbeitung. Was mir hier extrem ins auge gefallen ist, ist der fehlende Passus bezüglich Auszahlungen.
Warum ist dieser nicht vorhanden?! Wenn ich mich wo anmelde, möchte ich auch gern wissen, wie hoch die AZ-Grenze ist.

Auch ein störender Punkt ist §1.6 (mal davon abgesehen, dass keine Seitenbetreiber > § < in den AGB verwenden dürfen), wo Du Richter und
Henker spielen darfst. Auch wenn es hier nur um Lose geht, leben wir noch in einem Rechtsstaat. Wenn wir in Losemengen von umgerechnet
5 Euro hantieren, kann ein Rechtsstreit auf offiziellem Wege angezettelt werden. Der Richter wird dann am Ende über recht oder unrecht sprechen und
ein Urteil festlegen.
Dir bleibt dann die Option eine Anzeige zu veranlassen oder nicht.

Was mir eben noch auffällt, ist die Nummerierung der AGB. Man sollte dies unter klar erkennbaren Ziffern erkennen können und nicht immer wieder mit §1 starten ...weil,
mein nächster Einwand wäre: 1.3 Zulässige Seiten.
Der Account wird sofort gelöscht, weil sich vielleicht ein Newbie nicht mit den Info auskennt, die du dort nennst?! Krasse Sache. Reicht es nicht,
wenn die Kampagne gelöscht wird und der User über seinen verstoß informiert wird?!


Und der letzte Punkt, ist genauso ein krasses Beispiel.
Für die SB sperren, heißt gleich, Guthaben futsch. Auf welcher Grundlage kann das vertreten werden?!
Was hat die SB sperre mit meinem zurecht erwirtschaftem Guthaben zutun?!

Du bist auch nicht erst seit gestern bei Klamm, oder hier im Forum. Hätte ich ein wenig mehr erwartet.

Wenn dir jemand aufn Keks geht oder sich nicht an die SB regeln hält, kannst Du von deinem Hausrecht "jederzeit" gebrauch. Heißt
nichts anderes, User auszahlen, löschen und ID auf die Blacklist setzen. Da kann dir keiner was und muss auch nicht in den AGB stehen

Hoffentlich siehst Du meine Hinweise nicht als böswillig an. Mit einigen Tipps, kannst du einiges anfangen, ohne das dir jemand
der dich mal auf dem kieker hat, ans bein pinkeln kann.

Viel Glück

[Kraemer84]

Ja ne Sam das ist ja auch in Ordnung so und das nenn ich auch konstruktive Kritik .. was ich gemeint hatte war das jetzt nicht sowas kommt ala "Deine Seite ist müll oder schei*e" ohne mal anzugeben warum etwas nicht so toll ist..

[Sam2004]

Ja ne Sam das ist ja auch in Ordnung so und das nenn ich auch konstruktive Kritik .. was ich gemeint hatte war das jetzt nicht sowas kommt ala "Deine Seite ist müll oder schei*e" ohne mal anzugeben warum etwas nicht so toll ist..

Ok..."Definition", ist ja immer so ne Sache

Anhaltspunkte zur verbesserung haste ja^^

[breaker]

Ist schon komisch, ich habe hier vor längerer Zeit auch mal nach Betatester für ein neues Script gesucht, aber nur negative Kritik bekommen, obwohl die Leute das Script nicht mal gesehen haben...hier wird es auf Basis eines alten fehlerhaften Scriptes gepostet und jeder macht mit. Scheinbar wollen die Leute nichts neues, sondern ein Script, welches auf dem Script eines Scriptes basiert.
Ich mache bei diesem Betatest nicht mit, weil ich eine reine Surfbar für unflexibel halte und dort sowieso nicht auf die Seiten geachtet werden, wofür die Sponsoren ihr "Geld" ausgeben.

Ich habe mir nur den Header des Scriptes angesehen und gleich mehrere Fehler entdeckt und die Tatsache, das dieser Autor auch zu bequem war, das JQuery auf den eigenen Server zu laden, vielmehr wird jQuery mittels Google verlinkt und damit einem Tracking alle Türen geöffnet, ob es so auch im "Datenschutz" steht, ist sehr fraglich

[DjBusti]

Funktionen die ich nicht ändern werde:

Es wird keine "Passwort vergessen" Funktion geben (Es gibt Passwortspeichern Funktionen in jedem Browser etc und im Notfall kann das mal über das Kontaktformular geklärt werden was auch nicht einreißen sollte)

Dein Ansatz kann ich verstehen, aber es gibt aktuell genügend Software die z.B. den Passwort-Speicher im Browser ausliest.
Weiter kommt es auch häufig vor, wenn der Account gehackt wird, dass das Passwort dann direkt vom Hacker geändert wird.

Scheinbar wollen die Leute nichts neues, sondern ein Script, welches auf dem Script eines Scriptes basiert.

Es gibt genügend Interesse an etwas neuem, nur leider möchte sich niemand groß dran beleidigen.

Ich habe mir nur den Header des Scriptes angesehen und gleich mehrere Fehler entdeckt und die Tatsache, das dieser Autor auch zu bequem war, das JQuery auf den eigenen Server zu laden, vielmehr wird jQuery mittels Google verlinkt und damit einem Tracking alle Türen geöffnet, ob es so auch im "Datenschutz" steht, ist sehr fraglich

Was ein CDN mit Tracking und "Datenschutz" zu tun hat musst du mir nun erklären.

Ein CDN (Content Delivery Network) wie z.B. Akamai (Wird genutzt von u.a. Apple, Facebook ect.), MaxCDN (Wird genutzt von u.a. Kodak, Adobe ect.), Google (u.a. für jQuery, Prototype ect.) ist ein Dienst (Oftmals auch ein 3-Anbieter) der den Statischen Content (Bilder, Videos, CSS-Files, JS-Files ect.) Speichert und dem Endkunden direkt ausliefert. (Dies erhöht meist Geschwindigkeit der Webseite, da der Statische Content oft schon im Browser-Cache des Endkunden ist und der Webserver der eigenen Seite nicht so viele Abfragen abarbeiten muss.)

Auf jeder Seite ist mind. 1 leere Zeile vor dem HTML (könnte beim BOM zu ungewollten Ergebnissen führen).

Leere Zeilen im Quelltext werden meist nicht beachtet. (Ausnahmen gibt es immer).
Nicht leere Zeilen, sondern der BOM (Byte Order Mark) selber führt oft zu ungewollten Ergebnissen.

Auf der Startseite wird der Latin-Charset genutzt, auf den anderen Seiten teilweise UTF-8, aber egal welcher Charset eingetragen ist, die Umlaute im Header sind defekt (da arbeiten wohl zig verschiedene HTML-Seiten, statt eines Templates).

Wenn du dir das VMSone mal angeschaut hast solltest du sicherlich festgestellt haben, dass das VMSone keine Templates verwendet.

An und für sich gebe ich dir aber recht, dass der Charset auf allen Seiten der gleiche sein sollte. Zudem sollte dieser Charset dann auch im HTML-Header eingetragen sein.

JS-Scripte befinden sich Inline (eine Möglichkeit zum verlinken gibt es schon seit rund 10 Jahren), wieso wird sie nicht genutzt? Inline ist hoffnungslos veraltet,- genau wie Inline-Styles, auch hier gibt es die Möglichkeit zum Verlinken.

JS und CSS kann aus externen Dateien eingebunden werden, macht aber teilweise keinen Sinn, da es mehr Overhead gibt wenn man extra eine Datei dafür einbindet.

Tabellen sollten für Tabellen gebraucht werden und nicht für ein Design

Bis zu den DIV-Designs waren Tabellen-Designs sehr beleibt und weit verbreitet, da es vorher nicht möglich war Elemente nebeneinander anzuordnen.

An und für sich kann ich dir aber recht geben, dass ein Tabellen Design langsam als veraltet gilt und vom DIV-/HTML5-Design abgelöst wurde.

Session-IDs in der URL verleiten jedes Script-Kiddie zum Austesten von Sicherheitslöchern (Session-Hijacking) und dem Anhängen von illegalen Parametern.

Nicht nur Session-IDs verleiten Script-Kiddies dazu illegale Parameter anzuhängen, alles was per GET-Parameter übergeben wird ist potenziell gefährlich, d.h. sollte man ALLE eingaben eines Users, auf Korrektheit überprüfen.

Das Hijacking der Session-ID könnte man lösen indem weite Parameter wie z.B. den User-Agent u.s.w. gegenprüft. (Es gibt sogar Seiten, die Identifizieren ihre User nicht anhand von Sessions, sondern anhand des User-Agent in Zusammenhang mit einigen anderen Parametern.)

@Lokutos Auch wenn du nichts gescheites hier im Thread beitragen kannst, eine negative Bewertung geht immer, gell?

@breaker auch wenn du nichts außer negative Kritik hier im Thread beitragen kannst, informieren darf man sich schon bevor man einfach nur Negativen mist erzählt.

Zu deiner Beruhigung kann ich dir aber schreiben, das ich sehr wohl weiß, was "Content Delivery Network" ist....es ist (zumindest im Paid4) tot. CDN ist schließlich kein Klammlose-Geheimnis, sondern im Paid4 eines der letzten Möglichkeiten, etwas halbherziges auf die Beine zu stellen, nachdem bereits alles bekannte bis auf den letzten Sponsor zerstört wurde.

Was hat ein CDN (der Statischen Content ausliefert) mit Paid4 zu tun?
Und von welcher "letzten Möglichkeit, etwas halbherziges auf die Beine zu stellen" sprichst du hier?

---

Auf dem erstem Blick muss ich aber sagen, dass die Seite zwar nicht die schönste ist (Meine Meinung ) Aber das was ich so sehen kann, hat Kraemer84 eigentlich gut gemacht.

Sorry für den Langen Beitrag, aber ich musste auch mal meinen Senf dazu geben.

[Kraemer84]

Allgemein mal zu meinem Script .. das ist eben mein erstes funktionierendes wo ich sehr viel Zeit reingesteckt hab und oben hab ich ja bereits erwähnt das nur noch die Tabellenstruktur von vms_gebuchte_werbung vorhanden ist.. alles andere hab ich selbst erstellt ..

die google library .. gut sollte jeder für sich selber sehen .. ich hab aber kein problem mit google und finde die google services alle recht gut

hab mir jetzt mal die mühe gemacht und deinen Betatester Beitrag rausgesucht und da ich dich verstehen kann und selbst froh bin das überhaupt jemand sich mal meine Seite angekuckt hat möchte ich dir auch eine konstruktive Bewertung für dein Script geben





Der Sponsorenlogin ist nicht verfügbar (dead link)

Der Kontaktlink ist nicht verfügbar (dead link)

Der Userlogin funktioniert aber das linke Menü bleibt unverändert.. sprich ich seh kein Logout button .. Ausloggen konnte ich nur indem ich die Chronik für die Seite komplett gelöscht hab

Die Refralley ist nicht anwählbar

Der Klickbereich ist unvorteilhaft für "Turbo" klicker da die geklickten Banner erhalten bleiben

Das Menüdesign ist links oben fehlerhaft da die Seite nicht mit dem Menühead bündig ist

Nach einem kurzen Blick in deinen Header ist mir aufgefallen das bevor du überhaupt <html> ansetzt du schon vorher zig Zeilen html verwendest

...</tr><tr>
<td width="100%" vAlign="top" bgcolor="#C2C8D3">
<html>
<head>
<title>User Details!!</title>
<meta http-equiv="Content-Style-Type" content="text/css">
<meta http-equiv="Content-Type" content="text/html;charset=iso-8859-1">
<link rel="stylesheet" href="stylesheet1.css">
</head>
<body>... 

Im Adminmenü versteh ich auch nicht ganz die Dropdownlisten .. sollten die Seiten aufrufen ?

Ich hoffe ich konnte dir damit helfen

Könntest du mir im Ausgleich die "Fehler" per Pn schicken da ich nach mehrfachem Überprüfen keine Entdecken konnte

Danke

[breaker]

Nicht nur das. Auf jeder Seite ist mind. 1 leere Zeile vor dem HTML (könnte beim BOM zu ungewollten Ergebnissen führen). Auf der Startseite wird der Latin-Charset genutzt, auf den anderen Seiten teilweise UTF-8, aber egal welcher Charset eingetragen ist, die Umlaute im Header sind defekt (da arbeiten wohl zig verschiedene HTML-Seiten, statt eines Templates).

JS-Scripte befinden sich Inline (eine Möglichkeit zum verlinken gibt es schon seit rund 10 Jahren), wieso wird sie nicht genutzt? Inline ist hoffnungslos veraltet,- genau wie Inline-Styles, auch hier gibt es die Möglichkeit zum Verlinken.

Tabellen sollten für Tabellen gebraucht werden und nicht für ein Design, Mysql ist inzwischen auch veraltet, da hätte man besser auf Mysql-I gesetzt, um wenigstens das für die Zukunft zu bauen und halbwegs Modern zu bleiben.
Session-IDs in der URL verleiten jedes Script-Kiddie zum Austesten von Sicherheitslöchern (Session-Hijacking) und dem Anhängen von illegalen Parametern.

@Lokutos Auch wenn du nichts gescheites hier im Thread beitragen kannst, eine negative Bewertung geht immer, gell? Zu deiner Beruhigung kann ich dir aber schreiben, das ich sehr wohl weiß, was "Content Delivery Network" ist....es ist (zumindest im Paid4) tot. CDN ist schließlich kein Klammlose-Geheimnis, sondern im Paid4 eines der letzten Möglichkeiten, etwas halbherziges auf die Beine zu stellen, nachdem bereits alles bekannte bis auf den letzten Sponsor zerstört wurde.