Вариант для распечатки |
Пред. тема | След. тема | ||
Форум Разговоры, обсуждение новостей | |||
---|---|---|---|
Изначальное сообщение | [ Отслеживать ] |
"Уязвимость в движке для создания форумов phpBB" | +/– | |
Сообщение от opennews (??), 21-Ноя-18, 09:51 | ||
В популярном свободном движке для создания форумов phpBB (https://www.phpbb.com/) выявлена уязвимость (https://blog.ripstech.com/2018/phpbb3-phar-deserialization-t.../) (CVE-2018-19274 (https://security-tracker.debian.org/tracker/CVE-2018-19274)), позволяющая выполнить PHP-код на сервере и получить контроль за всей инфраструктурой форумов, имея полномочия администратора одного из форумов. Проблема устранена в выпуске phpBB 3.2.4 (https://www.phpbb.com/community/viewtopic.php?f=14&t=2492206). | ||
Ответить | Правка | Cообщить модератору |
Оглавление |
Сообщения | [Сортировка по ответам | RSS] |
1. Сообщение от Qwerty (??), 21-Ноя-18, 09:51 | +2 +/– | |
Помню, лет 10 назад создавал на нём форум, будучи ещё зелёным в вебе. Хороший движок. Был. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #2 |
2. Сообщение от нах (?), 21-Ноя-18, 10:18 | +3 +/– | |
ну, не считая того что у авторов был и остался очень странный подход к пониманию, что есть bulletin board (для нормального общения эти форумы непригодны абсолютно, вот для торрент-трекера, где каждая тема - отдельный торрент, а комментарии незачем и читать вообще - самое то, и примерно для этой цели всю жизнь подобные вещи и использовались) - не вижу почему "был". Движок как движок, авторы не виноваты в дырах php by design. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #1 |
3. Сообщение от Аноним (3), 21-Ноя-18, 10:31 | +7 +/– | |
> file_exists(), которая в случае указания URI "phar://" обработает метаданные в указанном файле | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #7, #9, #14 |
4. Сообщение от анан (?), 21-Ноя-18, 10:38 | –1 +/– | |
> вызвана отсутствием проверки поступающих от пользователя данных | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #5, #11 |
5. Сообщение от Аноним (3), 21-Ноя-18, 10:42 | +4 +/– | |
Авторы пыха добавили свой новый нескучный протокол phar://, а виноваты конечные разрабы, которые не предусмотрели в своих проектах, существовавших до нескучного phar://, что пользователь может указать phar://. Логично, чо. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #4 Ответы: #6 |
6. Сообщение от нах (?), 21-Ноя-18, 11:23 | +/– | |
> которые не предусмотрели в своих проектах, существовавших до нескучного phar://, что | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #5 |
7. Сообщение от нах (?), 21-Ноя-18, 11:24 | +4 +/– | |
> Тогда функция должна называться file_exists_and_maybe_handle_metadata_of_phar(). | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #3 Ответы: #25 |
9. Сообщение от Аноним (9), 21-Ноя-18, 12:01 | +/– | |
Напоминает Glib с очень длинными функциями. Но там это более-менее оправдано: принести ООП в С довольно сложно. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #3 |
10. Сообщение от Аноним (10), 21-Ноя-18, 12:06 | –2 +/– | |
> будет обработан функцией file_exists(), которая в случае указания URI "phar://" обработает метаданные в указанном файле | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #22 |
11. Сообщение от КО (?), 21-Ноя-18, 12:07 | +2 +/– | |
если быть точным, то неверно составлена фраза комментатором. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #4 |
12. Сообщение от vitalif (ok), 21-Ноя-18, 12:20 | +/– | |
Блин, вот serialize в phar это реально идиотизм... | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
14. Сообщение от vitalif (ok), 21-Ноя-18, 12:51 | +/– | |
Метаданные просто надо json хранить блин... догадались, serialize | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #3 |
15. Сообщение от th3m3 (ok), 21-Ноя-18, 13:04 | –5 +/– | |
phpBB - наверное, один из самых дырявых php-поделий в мире. Ещё больше 10 лет назад, помню - столько дырок было. И вот спустя столько времени, ничего не меняется. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Ответы: #16, #18 |
16. Сообщение от Попугай Кеша (?), 21-Ноя-18, 13:16 | +/– | |
Порекомендуйте что-то хорошее, пожалуйста | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #15 Ответы: #19, #26 |
17. Сообщение от VEG (ok), 21-Ноя-18, 14:01 | +3 +/– | |
Слабенькая уязвимость. Как правило, если пользователь имеет доступ к форуму как администратор («founder» в терминах phpBB), то он будет и администратором сайта вообще, с доступом к серверу. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
18. Сообщение от VEG (ok), 21-Ноя-18, 14:09 | +4 +/– | |
Память вас подводит. В phpBB 3.0, который с 2007 года был актуален более 5 лет, действительно критичных уязвимостей найдено не было. А с правами администратора всегда можно было дел наделать. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #15 |
19. Сообщение от th3m3 (ok), 21-Ноя-18, 14:55 | +1 +/– | |
> Порекомендуйте что-то хорошее, пожалуйста | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #16 |
21. Сообщение от Аноним (21), 21-Ноя-18, 17:57 | –1 +/– | |
Лучший двиг интернета из всех. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
22. Сообщение от Hgtuugt (?), 21-Ноя-18, 17:57 | +/– | |
Не забудьте обсудить это с психологом. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #10 |
23. Сообщение от Онаним (?), 22-Ноя-18, 00:32 | +/– | |
Не совсем понял, в чём тут уязвимость. Для эксплуатации нужен доступ с правами администратора форума, а с таковыми можно и загрузку вообще чего попало разрешить. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
24. Сообщение от Anonimous (?), 22-Ноя-18, 00:48 | +4 +/– | |
Я надеюсь, что в свежем ПХП функция preg-match, проверяющая строку, содержащую "system('/bin/sh rm -Rf /*')" на наличие в ней двоеточия или двух слешей подряд, поймет, что ему надо эту строку выполнить как php код сразу, не дожидаясь чтобы дальше разработчики её пихнули в file_exists ? а то вждруг они не для того проверяли, и не пихнут её чами в, казалось бы безобидную функцию. Ну чтобы точно... | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
25. Сообщение от kai3341 (ok), 22-Ноя-18, 05:06 | +1 +/– | |
php_real_escape_file же | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #7 |
26. Сообщение от КГБ СССР (?), 22-Ноя-18, 12:42 | –1 +/– | |
Чтоб обойти стороной PHP, я бы попробовал YaBB [ https://ru.wikipedia.org/wiki/YaBB ]. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #16 Ответы: #28 |
27. Сообщение от domov0y (?), 22-Ноя-18, 15:36 | –1 +/– | |
кто в теме, покажите как создать этот самый phar файл. и что ему надо дописать чтобы содержимое выполнилось именно в аргументе file_exists. | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
28. Сообщение от пох (?), 22-Ноя-18, 20:12 | +/– | |
http://www.yabbforum.com/cgi-bin/community/YaBB.pl?board=rus... | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #26 Ответы: #30, #31 |
30. Сообщение от КГБ СССР (?), 22-Ноя-18, 22:32 | +/– | |
Это говорит лишь о том, что рукожопы, пишущие туда по-русски, не умеют выбирать браузеры, которые правильно определяют кодировки. (Привычка, знаете ли, ляп-ляп-ляп — и в продакшын.) Эта страничка сделана в ISO-8859-1. Да, внезапно, кто ж такого мог ждать от американцев. :) | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #28 |
31. Сообщение от КГБ СССР (?), 22-Ноя-18, 22:42 | +/– | |
Там ньюфагов подстерегает другая печаль: внутри лапша из перлового кода и разметки. Всё как в старые добрые времена. В таком вот стиле: | ||
Ответить | Правка | Наверх | Cообщить модератору | ||
Родитель: #28 |
Архив | Удалить |
Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема |
Закладки на сайте Проследить за страницей |
Created 1996-2024 by Maxim Chirkov Добавить, Поддержать, Вебмастеру |