DioniX

Рейтинг
0
Регистрация
02.08.2011
Как взламывают сайты на DLE через XSS. Модуль "Переходы"
mfl:
Да что вы херней страдаете?
Заходим на оф. сайт скрипта и качаем последнюю версию.
Уже 3 месяца, как известно о проблеме и её решении.

Вот именно что з последней версией XSS и пришло ко всем в гости, мне их решения не помогло, всеравно приходили ссылки з скриптом в адресе, вот данный метод в этом топике мне помог вроде.... Но всеравно приходят ссылки, тока без действующого скрипта....

Как взламывают сайты на DLE через XSS. Модуль "Переходы"
RoMaN444Ik:
Блин народ! Кто разбирается в PHP(я) уже давно(сразу как появилась проблема) ее решили... там только три строчки добавить надо и все!

Значит, так:
Фиксим дыру...
Идем в файл engine/modules/referer.php и там перед 
if (strlen($row['request']) > $confms['block_link']) $search = substr ($row['request'], 0, $confms['block_link'])."..."; else $search = $row['request'];

ставим 
$row['request'] = htmlspecialchars($row['request']);

Затем ищем 
$sw = $engine[$host_referer]['2']; # основа поиска запроса

и после вставляем 
$request = htmlspecialchars($request);

далее идем чуть ниже и ищем 
if (!$request) {

        $request = urldecode($http_referer);

после вставляем 
$request = htmlspecialchars($request);

Сохраняем файл и радуемся жизни!

Поставил, теперь запросы идут з ГУГЛА такого типа: downloads3Cscript20src=http:toyotapprugogogojs3E3C2Fscr - то-есть он уже скриптом не считаеться?

Всего: 2