Forum. MyNuke.ru
Forum. MyNuke.ruСообщения за сегодняПерсональные сообщения

Навигация  
Вернуться   Forum. MyNuke.ru > PHP-NUKE > Безопасность > Уязвимости Защиты
Ник
Пароль
 
 
Опции темы Поиск в этой теме Опции просмотра
Soniks вне форума      Старый Php-Nuke POST XSS #1  
Soniks
Администратор
Регистрация: 16.01.2005
Сообщения: 4,814


Пожаловаться на это сообщениеОтветить с цитированием

Посмотреть профиль Отправить персональное сообщение для Soniks Посетить домашнюю страницу Soniks Найти все сообщения от Soniks Добавить Soniks в список друзей  
10.03.2007, 05:16

Продукт: PHP-Nuke
Версия: 8.0 и ниже
Описание:
При определенных настройках сервера (4.0.7<=PHP<=5.2.1 и выключенном параметре register_globals off), позволяет злоумышленнику подменять переменные в скриптах, при помощи POST запроса.
Устранение:

Открываем:
mainfile.php

Находим (89 строка):
PHP код:
 if (!ini_get('register_globals')) {
@
import_request_variables("GPC""");


И меняем на:
PHP код:
 if (!ini_get('register_globals')) {
extract($_COOKIEEXTR_SKIP);
extract($_POSTEXTR_SKIP);
extract($_GETEXTR_SKIP);


Для версий php-nuke ниже 8.0 нужно так же добавить еще ниже:
PHP код:
 // Die message for empty HTTP_REFERER
$posttags "<b>Внимание:</b> ваш браузер не отправляет шапку HTTP_REFERER на сайт.<br>";
$posttags .= "Это может быть вызвано вашим браузером, использования proxy server или Firewall.<br>";
$posttags .= "Пожалуйста, измените ваш браузер или выключите использование proxy<br>";
$posttags .= "или выключите 'Deny servers to trace web browsing' в вашем firewall<br>";
$posttags .= "и вы не должны иметь проблем с отсылкой POST запросов на сайт.";
if (
$_SERVER['REQUEST_METHOD'] == "POST") {
if (isset(
$_SERVER['HTTP_REFERER'])) {
     if (!
stripos_clone($_SERVER['HTTP_REFERER'], $_SERVER['HTTP_HOST'])) {
         die(
'Posting from another server not allowed!');
     }
} else {
     die(
$posttags);
}



На этом все!

Последний раз редактировалось Soniks, 22.03.2007 в 00:36.
 
"Если бы вам удалось надавать под зад человеку, виноватому в большинстве ваших неприятностей - вы бы неделю не смогли сидеть".


 


Опции темы Поиск в этой теме
Поиск в этой теме:

Расширенный поиск
Опции просмотра

Ваши права в разделе
Вы не можете создавать темы
Вы не можете отвечать на сообщения
Вы не можете прикреплять файлы
Вы не можете редактировать сообщения

BB-коды Вкл.
Смайлы Вкл.
[IMG] код Выкл.
HTML код Выкл.
Быстрый переход

Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Совмещаю PHP Nuke 7.8 и vBulletin 3.0.7 Ernest-Oleg-Iv Настройка и Изменение 5 07.01.2007 17:18
php nuke 7.9 + ipb 2.1.* kentbrn Установка 15 14.04.2006 04:33
Проблема при установке PHp nuke 7.6 alexey Установка 5 13.04.2006 02:37
Проблема при установке PHp nuke 7.9 haric Установка 2 08.03.2006 23:46
пробоемы с Php nuke 7.5 rus незарегистрированный Установка 3 08.09.2005 01:20


Часовой пояс GMT +4, время: 15:20.


На Верх
Рейтинг@Mail.ru