Strict Standards: Resource ID#18 used as offset, casting to integer (18) in /home/tvoyweb/domains/tvoyweb.ru/public_html/forums/include/fm.class.php on line 401

Strict Standards: Resource ID#24 used as offset, casting to integer (24) in /home/tvoyweb/domains/tvoyweb.ru/public_html/forums/include/fm.class.php on line 401

Strict Standards: Resource ID#26 used as offset, casting to integer (26) in /home/tvoyweb/domains/tvoyweb.ru/public_html/forums/include/fm.class.php on line 401

Strict Standards: Resource ID#27 used as offset, casting to integer (27) in /home/tvoyweb/domains/tvoyweb.ru/public_html/forums/include/fm.class.php on line 401
ТвойWeb :: Взлом учетных записей [3]
ТвойWeb ТвойWeb
Качественный Европейский хостинг
 Форум для чайников
 Чат на форуме      Помощь      Поиск      Пользователи


 Страниц (7): « 1 2 [3] 4 5 6 7 » 

> Описание: Взлом учетных записей
Поиск в теме | Версия для печати
cosc
Отправлено: 06 Декабря, 2006 - 09:32:22
Post Id



Full Member


Покинул форум
Сообщений всего: 188
Дата рег-ции: Апр. 2006  

Карма 2
Цитата:
В форуме была одна не закрытая дыра, через профиль пользователя можно было умудриться залить шел. Вот я только не помню когда я ее закрыл.

Посмотрел эти два файла в архиве на этом форуме, и у них дата последнего изменения 13 авгтуста. На всякий случай произвел обновление.

Насчет аватар, помню что где-то в конце августа Анна сказала на этом форуме, что открыта еще одна дыра через аватары и предложила обновиться, не об этой ли дыре речь?
Это обновление мы сделали еще в августе. Кстати, до этого нас пробовали ломать и через аватары, но дыра уже была прикрыта.
И как я понимаю, автары загружаются несколько в другую папку, так что тут ломанули явно не через них.
 
 Top
TvoyWeb Администратор
Отправлено: 06 Декабря, 2006 - 10:42:00
Post Id



Главный здесь


Покинул форум
Сообщений всего: 7072
Дата рег-ции: Нояб. 2003  
Откуда: Tashkent Uz

Карма 52




 cosc
Ну как я понял у вас шелл лежал в uploads. А эти дыры закрыты очень давно! Значит эти файлы давно у вас лежат на серваке.
 
 Top
cosc
Отправлено: 06 Декабря, 2006 - 13:13:38
Post Id



Full Member


Покинул форум
Сообщений всего: 188
Дата рег-ции: Апр. 2006  

Карма 2




 Просто насколько я помню, после начала сентября у этой версии форума никаких обновлений не выходило, кроме исправления создания новой темы, а все предыдущие обновления мы точно поставили до 4 сентября. Вот тут что-то про это написано: http://tvoyweb.ru/forums/topic.p...79640#1163679640 Заранее извиняюсь, если не прав.

Можно как-нибудь по имени закачанного файла узнать к какому сообщению он относится?
 
 Top
TvoyWeb Администратор
Отправлено: 06 Декабря, 2006 - 13:17:21
Post Id



Главный здесь


Покинул форум
Сообщений всего: 7072
Дата рег-ции: Нояб. 2003  
Откуда: Tashkent Uz

Карма 52
cosc пишет:
Можно как-нибудь по имени закачанного файла узнать к какому сообщению он относится?

Ты имеешь в виду файлы которые вам залили?
В принципе по названию можно определить. Дело в том что вообще в Full Mods загрузка файлов никак не предусматривает загрузку файлов с расширением php.
 
 Top
cosc
Отправлено: 06 Декабря, 2006 - 13:19:49
Post Id



Full Member


Покинул форум
Сообщений всего: 188
Дата рег-ции: Апр. 2006  

Карма 2
TvoyWeb пишет:
Дело в том что вообще в Full Mods загрузка файлов никак не предусматривает загрузку файлов с расширением php.

Такой ощущение, что залили файлы с расширением jpg, и только потом, для простоты запуска через сами шелы их поменяли на .php
 
 Top
TvoyWeb Администратор
Отправлено: 06 Декабря, 2006 - 13:21:16
Post Id



Главный здесь


Покинул форум
Сообщений всего: 7072
Дата рег-ции: Нояб. 2003  
Откуда: Tashkent Uz

Карма 52
cosc пишет:
Такой ощущение, что залили файлы с расширением jpg, и только потом, для простоты запуска через сами шелы их поменяли на .php

Даже пока не представляю, как такое может произойти.
 
 Top
cosc
Отправлено: 06 Декабря, 2006 - 13:37:15
Post Id



Full Member


Покинул форум
Сообщений всего: 188
Дата рег-ции: Апр. 2006  

Карма 2
Цитата:
же пока не представляю, как такое может произойти.

http://security.nnov.ru/Ldocument518.html - тут что-то подобное описано.
 
 Top
TvoyWeb Администратор
Отправлено: 06 Декабря, 2006 - 14:04:10
Post Id



Главный здесь


Покинул форум
Сообщений всего: 7072
Дата рег-ции: Нояб. 2003  
Откуда: Tashkent Uz

Карма 52




 Кстати сейчас посмотрел еще раз и в 0.1.4 и в 0.1.5 при загрузке файла в первую очередь проверяется расширение файла! И если расширение разрешено в админке, то пропускает к следующей проверке. И расширения присвает только ext или расширения картинок.
 
 Top
cosc
Отправлено: 06 Декабря, 2006 - 16:50:01
Post Id



Full Member


Покинул форум
Сообщений всего: 188
Дата рег-ции: Апр. 2006  

Карма 2
TvoyWeb пишет:
И расширения присвает только ext или расширения картинок.

Вот-вот, в данном случае расширение у шелов jpg.php.
Просто если удастся каким-то образом закачать php скрипт, поменяв ему расширение на jpg, то в дальнейшем его можно запустить способом, указанным в статье, либо каким-нибудь другим, ему подобным: http://security.nnov.ru/Ldocument518.htm


Таким образом, если залить на форум свою аватарку в виде, например,
PHP веб-шелла с расширением .jpg или каким-либо другим
(gif,jpg,bmp,png,jpeg,pjpeg), то затем эту аватарку можно исполнить
как PHP код. Для этого необходимо передать скрипту редактирования
профиля параметр "default_lang" (через POST) с относительным путем до
нашей аватарки и в конце вставить символ "%00" (без кавычек,
естественно). После того, как форум проглотит все это, он запишет
$vars['default_lang'] в переменную $inuser['lang'], которая, в свою
очередь, передаст значение в $exbb['default_lang']. В форуме язык
подключается следующим образом:
include('./language/' . $exbb['default_lang'] . '/lang.php'Подмигивание;

А это значит, что уязвимость действительно существует, ведь можно из
этого сделать следующее:
include('./language/../im/avatars/personal/5-avatar.jpg%00/lang.
php'Подмигивание;

Здесь 5-avatar.jpg - имя файлика с нашей аватаркой.
 
 Top
TEiD
Отправлено: 06 Декабря, 2006 - 17:57:59
Post Id



Advanced Member


Покинул форум
Сообщений всего: 295
Дата рег-ции: Март 2006  
Откуда: Оттуда

Карма -11

[+][+]


 cosc, ты чего? Это же и клеили в июле, я помню как Лично Анне об этой пакости доложил! Ты чего?
 
 Top
Поиск в теме | Версия для печати
Страниц (7): « 1 2 [3] 4 5 6 7 »
Сейчас эту тему просматривают: 2 (гостей: 2, зарегистрированных: 0, скрытых: 0)
« ExBB - лучший форум на файлах »


Все гости форума могут просматривать этот раздел.
Только администраторы и модераторы могут создавать новые темы в этом разделе.
Только администраторы и модераторы могут отвечать на сообщения в этом разделе.



Форум на AlfaSpace.NET


Powered by ExBB
ExBB FM 1.0 RC1 by TvoyWeb.ru
InvisionExBB Style converted by Markus®
[Script Execution time: 0.0587]     [ Gzipped ]



Notice: ob_end_flush(): failed to send buffer of ob_gzhandler (1) in /home/tvoyweb/domains/tvoyweb.ru/public_html/forums/include/page_tail.php on line 33