phpBB2 by Przemo

Widmo · **Pomógł:** 180 razy Posty: 2435

Wprawdzie są dwa warunki użycia exploita - ale warto sie zabezpieczyc.

Wykryto dziurę która umożliwia wykonanie dowolnego kodu PHP na forum.

Pierwszy warunek - atakujący musi mieć dostęp do pliku *.css dostępnego na forum stylu (panel admina)
Czyli wystarczy że jest adminem, lub junior adminem.

Drugi warunek: *.css musi miec włączone prawa zapisu.

Jak się zabezpieczyć:

Ustaw CHMOD 444 na plik subSilver.css lub *.css swojego stylu.

Otwórz: viewtopic.php

ZNAJDZ:

Kod:

if ( $user_sig != '' )
{
$user_sig = make_clickable($user_sig);
}
$message = make_clickable($message);

ZA DODAJ:

Kod:

$theme['fontcolor3'] = preg_replace('#[^a-f0-9]+#i','',$theme['fontcolor3']);

Gadatliwa Kasia

MaciekP · **Pomógł:** 12 razy Posty: 137

Widmo · **Pomógł:** 180 razy Posty: 2435

irekk · **Pomógł:** 283 razy Posty: 2927

Widmo · **Pomógł:** 180 razy Posty: 2435

MarX · **Pomógł:** 26 razy Posty: 349

Co mnie martwi, skoro to taka ważna poprawka to, czemu nie ma żadnych informacji na maila.
Akurat codziennie zaglądam na forum, ale inni??

irekk · **Pomógł:** 283 razy Posty: 2927

wiesz wdmo, ale osoba ktora bedzie chciala zaszkodzic wystarczy ze zrobi masow usuwanie uzytkownikow i postow i po forum. wowczas php ci jest nie potrzebne

przecinek · **Pomógł:** 272 razy Posty: 890

Bazę można przywrócić, ale jak ktoś wykradnie md5 haseł to może nie być ciekawie

.

irekk · **Pomógł:** 283 razy Posty: 2927

a w ogloszeniu nie mozna walnac exploita? tam chyba nie ma kontroli htmla?

Widmo · **Pomógł:** 180 razy Posty: 2435

MarX · **Pomógł:** 26 razy Posty: 349

Przemo · **Pomógł:** 210 razy Posty: 3148

Widmo, 1. Kto wykrył dziurę?
2. Czy jest to dziura ogólnie phpBB czy naszej wersji?

W naszej wersji jest całkiem inne zarządzanie stylami. Nie można odebrać praw plikowi CSS, chyba, że juz nie bedziemy edytowac kolorow. Hackowac musialby admin lub junior admin z dostepem do zarzadzania stylami. Chyba to zbytnia panika.

Przemo · **Pomógł:** 210 razy Posty: 3148

Zmieniłem parametry tego tematu bo zbytnio straszyły

Widmo · **Pomógł:** 180 razy Posty: 2435

Gadatliwa Kasia

GrZyB997 · Posty: 9

A mozna junior adminowi ując zarządzanie stylami ?

PzDr.