Forum. MyNuke.ru - phpBB BBCode IMG Тег - Инъекция кода!

Forum. MyNuke.ru (http://forum.mynuke.ru/index.php)

- Уязвимости Защиты (http://forum.mynuke.ru/forumdisplay.php?f=15)

- - phpBB BBCode IMG Тег - Инъекция кода! (http://forum.mynuke.ru/showthread.php?t=551)

phpBB BBCode IMG Тег - Инъекция кода!

Продукт: phpBB (и большинство других форумов и движков )
Версия: 2.0.17

Описание:
В настоящий момент распространение получила следующая уязвимость. Злоумышленник создает вредоносный файл переименовывает его как картинку и добавляет его к вам на форум через BBCode . В результате картинка в его сообщении не откроется, но удаленный код выполнится! Таким образом, злоумышленник может выполнить либо XSS либо чего по страшнее, в плоть, до получения информации из конфиг файла!

Устранение:
На данный момен еще не придумали метод устранения этой уязвимости, единственное решение это отключить [IMG] код в вашем форуме.

В phpbb что бы отменить выполнения кода [img], откройте includes/bbcode.php
Найдите(189):

PHP код:


		
			
 $text = str_replace("[i:$uid]", $bbcode_tpl['i_open'], $text);
$text = str_replace("[/i:$uid]", $bbcode_tpl['i_close'], $text);

Ниже добавьте:

PHP код:


		
			
 //Fix - disable [img] code! 
$text = str_replace("[img:$uid]", "[img]", $text);
$text = str_replace("[/img:$uid]","[/img]", $text);

Если вы вообще захотите убрать как таковую кнопку Img при создании сообщения, то откройте posting_body.tpl вашей темы форума
найдите и удалите:

Код HTML:


<td><span class="genmed"> 
	 <input type="button" class="button" accesskey="p" name="addbbcode14" value="Img" style="width: 40px" onClick="bbstyle(14)" onMouseOver="helpline('p')" />
	 </span></td>

Уязвимость довольно серъезная и легко выполнимая! :fire:

P.S.: Сам эксплоид не привожу, дабы было меньше пострадавших!

Forum до версии 2.0.19

А для Forum версии 2.0.19 интегрированный в phpnuke?

так же актуально!

Цитата: Сообщение от Soniks

Устранение:
На данный момен еще не придумали метод устранения этой уязвимости, единственное решение это отключить [IMG] код в вашем форуме.

А как с этой проблемой в VB справились ? Ведь как-то же справились ....

Зануда так же не справились, попрежнему существует данная дыра.

Soniks, получается у меня после этого дополнения в подписи игнорируется тег IMG..так?
А можно как-нибудь модифицировать это, чтобы с 2-3-х конкретных сайтов можно было вставлять картинки в подпись? Для моего сайта это очень актуально...
Помогт пожалуйста

Cybermama да все можно, но если честно у меня сейчас времени особо нет показывать как это сделать...

Цитата: Сообщение от Cybermama

Кстати, крайне актуальный вопрос... Будем ждать пока Soniks освободится :wink:

мммм... ну с таким подходом, это вообще нужно запретить использование тэга Img по всему форуму...
я может и не прав, так что не судите сторого :) просто подумал, что может быть есть смысл добавлять на картинку как вотермарк размером 1х1, ведь если это действительно картинка, то добавление пройдет успешно, а если это не картинка, то процедура просто провалится. ведь так?
извините, если ляпнул глупость :)