Уязвимости в популярных CMS

YESAudit · 2020-07-28T15:09:39.0000000Z

В течении года я занимался разработкой системы автоматического поиска уязвимостей в PHP коде. Она анализирует исходный код и строит отчет о найденных уязвимостях. С тестовыми примерами система справлялась достойно, умела находить практически любые XSS, SQL PHP инъекции, сообщала функции и переменные порождавшие их. Перейдя на полномасштабное тестирование анализатора стало интересным провести тестирование известных открытых движков CMS, форумов, интернет магазинов, поискать уязвимости в них. И практически сразу появились очень интересные результаты. Не дожидаясь окончания тестирования всех запланированных движков, решил подготовить обзор того что уже было исследовано. За последнюю неделю было протестировано 5 CMS и один движок интернет магазина. А это в сумме это больше 300 000 строк кода. Тестирование сайтов проводилось следующим образом. Устанавливался сайт локально, и проводилась его настройка до рабочего состояния. После чего сайт прогонялся анализатором. И последним действием был просмотр отчета анализатора и ручная проверка всех тех мест, которые он обнаруживал. Было увлекательно замечать как анализатор на больших проектах после 20 минут работы отваливался, из-за каких то хитрых конструкций языка, которые он неправильно понимал. После поправки анализатора, проходило те же 20 минут и он отваливался, но уже в другом месте. Этот этап отладки, очень помог, сейчас в большинстве случаев анализатор уже пережил свой детский возраст и без каких либо неожиданностей может протестировать довольно объемный сайт от и до, пройдясь по каждой строчке кода. Результаты 1. Первая из протестированных CMS (повезло так повезло) оказалась самой уязвимой. Во первых она содержит добротную кучку уязвимостей в админпанели, которыми может воспользоваться админ сайта (да, админ сайта это еще не админ сервера или хостинга). Но самое интересное, это уязвимость в модуле info. Начнем с менее интересного. Если вы администратор этой CMS но при этом не имеете доступа по ftp - не беда, вы можете создавать/удалять/читать любые файлы с правами пользователя apache. Координаты: Скрипт cms/apanel/filebrowser.php; строки 597, 599, 784, 855; операторы mkdir, chmod, fopen, unlink, copy; и переменные $ndir, $file, $gofolder, все они не экранируются. А вот с модулем info все намного интересней. Уязвимость в параметре pa. Через него можно прочесть абсолютно любой файл на сервере. Код расчитан на подгрузку шаблона *.tpl, при этом не валидируется исходная строка. Но дополнив строку нуль байтом получаем возможность чтения любых файлов, в том числе и скриптов. Для примера, читаем хост, название базы, логин и пароль к БД вот такой строчкой: index.php?dn=info&pa=../../base/danneo.setting.php%00 после чего можно открыть удаленное соединение с базой. Всего анализатор нашел много много xss и 15 php уязвимостей, но при этом все они кроме одной относятся к админпанели. В любом случае использовать эту CMS не советую. 2. Уязвимостей как таковых не нашлось, однако если в .htaccess отключить register_globals то возможно открывается пара пасивных xss, о чем мне сообщил анализатор. Почему я написали возможно? Просто не взялся изучать код на каких-то экзотических случаях, когда перенастраиваются искусственно конфигурации .htaccess. Если кому интересно могу скинуть отчет анализатора, сами пороетесь. 3. Хоть анализатор и нашел уязвимости в админке, но после ручной проверки они оказались ложными. 4. Ребята этой CMS подошли к вопросу безопасности оригинально. Добавили такую себе заглушку которая вне зависимости от register_globals обнуляет переменные. По сути их код не является чистым и красивым. Например такие конструкции там повсюду: if($query == <some>) $query = ...; mysql_query($query); Никаких проверок, никаких инициализаций переменной $query. Однако их заглушка знает свое дело, и сколько либо опасных уязвимостей найти не удалось. 5. Всё чисто. 6. Тестировался бесплатный вариант Shop Script Free в котором анализатор нашел несколько пассивных XSS на странице входа в админку и странице восстановления пароля(которая в бесплатной версии скрипта не работает). Примером будет запрос: /access_admin.php?errorStr=<script>alert('hello')</script> Переменная errorStr никак не экранируется и отправив подготовленную ссылку по электронной почте указанной на сайте магазина с большой вероятностью можно увести административные куки авторизации. Валидации по ip там нет. Заключение Пока что это всё. Подводя итоги, хочу сказать что в процессе ручного анализа кода часто удивлял подход к его разработке. Процедурное программирование оказывается еще в моде. Наверное процесс переписывания кучи кода не всегда целесообразен. А из технологий чаще всего применяется проапгрейженый велосипед с дудкой. Особенно в этом преуспел довольно популярный osCommerce. Его в обзор не добавил, замечу что уязвимостей в нем не нашлось, но общее впечатление осталось. Ради обратной совместимости в нем применяются дедовские хардкорные заплатки. Например вместо того чтоб отрефакторить код и заменить $HTTP_GET_VARS на $_GET проще ведь написать $HTTP_GET_VARS = &$_GET, или например в хедер добавить: // check support for register_globals if (function_exists('ini_get') && (ini_get('register_globals') == false) && (PHP_VERSION < 4.3) ) { exit('Server Requirement Error: register_globals is disabled in your PHP configuration. This can be enabled in your php.ini configuration file or in the .htaccess file in your catalog directory. Please use PHP 4.3+ if register_globals cannot be enabled on the server.'); } В целом в популярных движках, код которых открыт и проверяется сообществом сложно что либо найти. На сколько я знаю в компаниях за одну SQL Injection можно лишиться работы. Однако все таки человек не машина и упустить где-то, то же экранирование переменной, можно очень легко. Так что будьте бдительны при написании кода. PS: Для продолжения обзора собираю список популярных opensource движков, пишите или в личку, или ICQ: 330164453, присоединю к тестированию. PPS: Если вы хотите протестировать свой сайт на уязвимости, то можете воспользоваться нашими услугами /ru/forum/542484

DV

644

DenisVS

4 октября 2010, 18:36

#21

PunBB, пожалуйста, в очередь на препарацию.

VDS хостинг ( http://clck.ru/0u97l ) Нет нерешаемых задач ( https://searchengines.guru/ru/forum/806725 ) | Перенос сайтов на Drupal 7 с любых CMS. ( https://searchengines.guru/ru/forum/531842/page6#comment_10504844 )

Y

5

YESAudit

4 октября 2010, 18:54

#22

Спасибо за список цмсок, работы тут конечно на неделю с носом. За следующие пару дней в анализатор внесу пару интересных задумок, которые по идее должны улучшить его КПД и в бой.

Британские ученые доказали, что прививки предупреждают болезни.

R

172

Reyzer

5 октября 2010, 11:00

#23

А что за анализатор ?

Y

5

YESAudit

5 октября 2010, 11:39

#24

Reyzer:
А что за анализатор ?

Анализатор исходного PHP кода собственной разработки🚬

YESAudit добавил 05-10-2010 в 19:44

Если кому интересно принцып его работы, то вот микростатья описывающая основу основ https://forum.antichat.ru/showthread.php?p=2343506

SM

11

SadMz

6 октября 2010, 01:59

#25

Jekyll:
DLE тоже платный :)

на дле они дыр найдут, но это все параноя, там в принципе везде паранои у них куча.... в админке дыры нашли йопта, у меня админка вообще шелл...

SadMz добавил 06.10.2010 в 14:14

тому уроду который мне заминусовал репу про с сообщением что неизвестно к чему шелл приплетен - поясню шеллы бывают не только сишеллы не только ссх не тока баши и не только пхп, еще раз поясняю что в админке находить такого рода уязвимости параноя я админ.пхп в самом тупом случае переименую в sdkljfgdskjfksdfjgfds.php как ты его тогда запустишь тупой троль? бля приплюстнутых батанов объясняю - что искать уязвимости нужно в юзерском функционале, в админском их нормальные люди не ищут, нормальным людям вообще админка нужна с минимальным набором функций!!! потому что есть фтп ссх да_админ и тд все кто не знает зачем это и администрировать собственно навыков иметь не может, а значит и серьезным проектом управлять не может! дыра админки это проблема головы имеющий самый высокий уровень доступа к этой админке!

Взломали сайт на DLE Уязвимости DLE 8.5 оявление постороннего кода в

Зачем быть уникальным в мире, где все можно скопировать

Google: E-E-A-T не является фактором ранжирования