Forum. MyNuke.ru - phpBB BBCode IMG Тег - Инъекция кода!

phpBB BBCode IMG Тег - Инъекция кода!

Soniks

Администратор

Регистрация: 16.01.2005

Сообщения: 4,814

Отправить персональное сообщение для Soniks

03.09.2005, 12:13

Продукт: phpBB (и большинство других форумов и движков )
Версия: 2.0.17

Описание:
В настоящий момент распространение получила следующая уязвимость. Злоумышленник создает вредоносный файл переименовывает его как картинку и добавляет его к вам на форум через BBCode . В результате картинка в его сообщении не откроется, но удаленный код выполнится! Таким образом, злоумышленник может выполнить либо XSS либо чего по страшнее, в плоть, до получения информации из конфиг файла!

Устранение:
На данный момен еще не придумали метод устранения этой уязвимости, единственное решение это отключить [IMG] код в вашем форуме.

В phpbb что бы отменить выполнения кода [img], откройте includes/bbcode.php
Найдите(189):

PHP код:


		
			
 $text = str_replace("[i:$uid]", $bbcode_tpl['i_open'], $text);
$text = str_replace("[/i:$uid]", $bbcode_tpl['i_close'], $text);

Ниже добавьте:

PHP код:


		
			
 //Fix - disable [img] code! 
$text = str_replace("[img:$uid]", "[img]", $text);
$text = str_replace("[/img:$uid]","[/img]", $text);

Если вы вообще захотите убрать как таковую кнопку Img при создании сообщения, то откройте posting_body.tpl вашей темы форума
найдите и удалите:

Код HTML:


<td><span class="genmed"> 
	 <input type="button" class="button" accesskey="p" name="addbbcode14" value="Img" style="width: 40px" onClick="bbstyle(14)" onMouseOver="helpline('p')" />
	 </span></td>

Уязвимость довольно серъезная и легко выполнимая!

P.S.: Сам эксплоид не привожу, дабы было меньше пострадавших!

Последний раз редактировалось Soniks, 05.09.2005 в 12:34.


	"Если бы вам удалось надавать под зад человеку, виноватому в большинстве ваших неприятностей - вы бы неделю не смогли сидеть".

Forum до версии 2.0.19

uzalbert

Новенький

Регистрация: 10.02.2006

Сообщения: 17

Отправить персональное сообщение для uzalbert

22.02.2006, 13:08

А для Forum версии 2.0.19 интегрированный в phpnuke?

Soniks

Администратор

Регистрация: 16.01.2005

Сообщения: 4,814

22.02.2006, 17:24

так же актуально!


	"Если бы вам удалось надавать под зад человеку, виноватому в большинстве ваших неприятностей - вы бы неделю не смогли сидеть".

Зануда

Новенький

Регистрация: 25.02.2006

Сообщения: 17

Отправить персональное сообщение для Зануда

25.02.2006, 23:04

Цитата: Сообщение от Soniks

Устранение:
На данный момен еще не придумали метод устранения этой уязвимости, единственное решение это отключить [IMG] код в вашем форуме.

А как с этой проблемой в VB справились ? Ведь как-то же справились ....

Soniks

Администратор

Регистрация: 16.01.2005

Сообщения: 4,814

26.02.2006, 04:49

Зануда так же не справились, попрежнему существует данная дыра.


	"Если бы вам удалось надавать под зад человеку, виноватому в большинстве ваших неприятностей - вы бы неделю не смогли сидеть".

Cybermama

Участник

Регистрация: 17.02.2006

Сообщения: 61

Отправить персональное сообщение для Cybermama

25.03.2006, 23:55

Soniks, получается у меня после этого дополнения в подписи игнорируется тег IMG..так?
А можно как-нибудь модифицировать это, чтобы с 2-3-х конкретных сайтов можно было вставлять картинки в подпись? Для моего сайта это очень актуально...
Помогт пожалуйста

Последний раз редактировалось Cybermama, 26.03.2006 в 00:20.

Soniks

Администратор

Регистрация: 16.01.2005

Сообщения: 4,814

29.03.2006, 19:21

Cybermama да все можно, но если честно у меня сейчас времени особо нет показывать как это сделать...


	"Если бы вам удалось надавать под зад человеку, виноватому в большинстве ваших неприятностей - вы бы неделю не смогли сидеть".

Alie

Участник+

Регистрация: 20.03.2006

Сообщения: 153

Отправить персональное сообщение для Alie

09.09.2006, 19:46

Цитата: Сообщение от Cybermama

Кстати, крайне актуальный вопрос... Будем ждать пока Soniks освободится

0z0n

Новенький

Регистрация: 23.02.2007

Сообщения: 9

Отправить персональное сообщение для 0z0n

23.02.2007, 03:52

мммм... ну с таким подходом, это вообще нужно запретить использование тэга Img по всему форуму...
я может и не прав, так что не судите сторого :) просто подумал, что может быть есть смысл добавлять на картинку как вотермарк размером 1х1, ведь если это действительно картинка, то добавление пройдет успешно, а если это не картинка, то процедура просто провалится. ведь так?
извините, если ляпнул глупость :)