Forum. MyNuke.ru - Php-Nuke POST XSS

Навигация

		Forum. MyNuke.ru > PHP-NUKE > Безопасность > Уязвимости Защиты
Php-Nuke POST XSS

Опции темы

Поиск в этой теме

Опции просмотра

Предыдущее

Следующее

Php-Nuke POST XSS

Soniks

Администратор

Регистрация: 16.01.2005

Сообщения: 4,814

Отправить персональное сообщение для Soniks

10.03.2007, 05:16

Продукт: PHP-Nuke
Версия: 8.0 и ниже
Описание:
При определенных настройках сервера (4.0.7<=PHP<=5.2.1 и выключенном параметре register_globals off), позволяет злоумышленнику подменять переменные в скриптах, при помощи POST запроса.
Устранение:

Открываем:
mainfile.php

Находим (89 строка):

PHP код:


		
			
 if (!ini_get('register_globals')) {
@import_request_variables("GPC", "");
}

И меняем на:

PHP код:


		
			
 if (!ini_get('register_globals')) {
extract($_COOKIE, EXTR_SKIP);
extract($_POST, EXTR_SKIP);
extract($_GET, EXTR_SKIP);
}

Для версий php-nuke ниже 8.0 нужно так же добавить еще ниже:

PHP код:


		
			
 // Die message for empty HTTP_REFERER
$posttags = "<b>Внимание:</b> ваш браузер не отправляет шапку HTTP_REFERER на сайт.<br>";
$posttags .= "Это может быть вызвано вашим браузером, использования proxy server или Firewall.<br>";
$posttags .= "Пожалуйста, измените ваш браузер или выключите использование proxy<br>";
$posttags .= "или выключите 'Deny servers to trace web browsing' в вашем firewall<br>";
$posttags .= "и вы не должны иметь проблем с отсылкой POST запросов на сайт.";
if ($_SERVER['REQUEST_METHOD'] == "POST") {
if (isset($_SERVER['HTTP_REFERER'])) {
     if (!stripos_clone($_SERVER['HTTP_REFERER'], $_SERVER['HTTP_HOST'])) {
         die('Posting from another server not allowed!');
     }
} else {
     die($posttags);
}
}

На этом все!

Последний раз редактировалось Soniks, 22.03.2007 в 00:36.


	"Если бы вам удалось надавать под зад человеку, виноватому в большинстве ваших неприятностей - вы бы неделю не смогли сидеть".

« Предыдущая тема | Следующая тема »

Опции темы	Поиск в этой теме
Версия для печати Отправить на E-mail	Поиск в этой теме: Расширенный поиск
Опции просмотра
Линейный вид Комбинированный вид Древовидный вид

Ваши права в разделе
Вы не можете создавать темы Вы не можете отвечать на сообщения Вы не можете прикреплять файлы Вы не можете редактировать сообщения BB-коды Вкл. Смайлы Вкл. [IMG] код Выкл. HTML код Выкл.

Быстрый переход

Похожие темы
Тема	Автор	Раздел	Ответов	Последнее сообщение
Совмещаю PHP Nuke 7.8 и vBulletin 3.0.7	Ernest-Oleg-Iv	Настройка и Изменение	5	07.01.2007 17:18
php nuke 7.9 + ipb 2.1.*	kentbrn	Установка	15	14.04.2006 04:33
Проблема при установке PHp nuke 7.6	alexey	Установка	5	13.04.2006 02:37
Проблема при установке PHp nuke 7.9	haric	Установка	2	08.03.2006 23:46
пробоемы с Php nuke 7.5 rus	незарегистрированный	Установка	3	08.09.2005 01:20

Часовой пояс GMT +4, время: 19:02.

MyNuke.ru - Архив