Forum. MyNuke.ru

Forum. MyNuke.ru (http://forum.mynuke.ru/index.php)
-   Уязвимости Защиты (http://forum.mynuke.ru/forumdisplay.php?f=15)
-   -   phpBB BBCode IMG Тег - Инъекция кода! (http://forum.mynuke.ru/showthread.php?t=551)

Soniks 03.09.2005 12:13

phpBB BBCode IMG Тег - Инъекция кода!
 
Продукт: phpBB (и большинство других форумов и движков )
Версия: 2.0.17

Описание:
В настоящий момент распространение получила следующая уязвимость. Злоумышленник создает вредоносный файл переименовывает его как картинку и добавляет его к вам на форум через BBCode . В результате картинка в его сообщении не откроется, но удаленный код выполнится! Таким образом, злоумышленник может выполнить либо XSS либо чего по страшнее, в плоть, до получения информации из конфиг файла!

Устранение:
На данный момен еще не придумали метод устранения этой уязвимости, единственное решение это отключить [IMG] код в вашем форуме.

В phpbb что бы отменить выполнения кода [img], откройте includes/bbcode.php
Найдите(189):
PHP код:
 $text str_replace("[i:$uid]"$bbcode_tpl['i_open'], $text);
$text str_replace("[/i:$uid]"$bbcode_tpl['i_close'], $text); 

Ниже добавьте:
PHP код:
 //Fix - disable [img] code! 
$text str_replace("[img:$uid]""[img]"$text);
$text str_replace("[/img:$uid]","[/img]"$text); 

Если вы вообще захотите убрать как таковую кнопку Img при создании сообщения, то откройте posting_body.tpl вашей темы форума
найдите и удалите:
Код HTML:
<td><span class="genmed"> <input type="button" class="button" accesskey="p" name="addbbcode14" value="Img" style="width: 40px" onClick="bbstyle(14)" onMouseOver="helpline('p')" /> </span></td>


Уязвимость довольно серъезная и легко выполнимая! :fire:

P.S.: Сам эксплоид не привожу, дабы было меньше пострадавших!

uzalbert 22.02.2006 13:08

Forum до версии 2.0.19
 
А для Forum версии 2.0.19 интегрированный в phpnuke?

Soniks 22.02.2006 17:24

так же актуально!

Зануда 25.02.2006 23:04

Цитата: Сообщение от Soniks
Устранение:
На данный момен еще не придумали метод устранения этой уязвимости, единственное решение это отключить [IMG] код в вашем форуме.



А как с этой проблемой в VB справились ? Ведь как-то же справились ....

Soniks 26.02.2006 04:49

Зануда так же не справились, попрежнему существует данная дыра.

Cybermama 25.03.2006 23:55

Soniks, получается у меня после этого дополнения в подписи игнорируется тег IMG..так?
А можно как-нибудь модифицировать это, чтобы с 2-3-х конкретных сайтов можно было вставлять картинки в подпись? Для моего сайта это очень актуально...
Помогт пожалуйста

Soniks 29.03.2006 19:21

Cybermama да все можно, но если честно у меня сейчас времени особо нет показывать как это сделать...

Alie 09.09.2006 19:46

Цитата: Сообщение от Cybermama
Soniks, получается у меня после этого дополнения в подписи игнорируется тег IMG..так?
А можно как-нибудь модифицировать это, чтобы с 2-3-х конкретных сайтов можно было вставлять картинки в подпись? Для моего сайта это очень актуально...
Помогт пожалуйста

Кстати, крайне актуальный вопрос... Будем ждать пока Soniks освободится :wink:

0z0n 23.02.2007 03:52

мммм... ну с таким подходом, это вообще нужно запретить использование тэга Img по всему форуму...
я может и не прав, так что не судите сторого :) просто подумал, что может быть есть смысл добавлять на картинку как вотермарк размером 1х1, ведь если это действительно картинка, то добавление пройдет успешно, а если это не картинка, то процедура просто провалится. ведь так?
извините, если ляпнул глупость :)


Часовой пояс GMT +4, время: 01:03.

Copyright © 2005 by Soniks