03/01/2006 15:58:06
antivirus
אז ככה שמתי לב שהרבה התחילו לפרסם חורי אבטחה חדשים עכב שיחתנו הקטנה..ואני מאוד שמח ..אבל..הרעיון הוא לא להעתיק את החור אבטחה מהאתר לפה אלא להסביר עליו כי כל אחד יכול לקרוא באתר..ולכן...אני אתן דוגמא לחור
למי שלא מכיר ישנה מערכת בשם phpbook שהיא למעשה ספר אורחים שבנוי בphp שאפשר להוריד ולהכניס באתר שלכם החור שהתגלה הינו בכל הגירסאות מהחדשה ביותר ומטה החור מאפשר להכניס בתיבה של הכתובת דוא"ל פקודות שונות של php ולעשות מה שמתחשק לכם עם הספר למחוק את כל הדטא בייס למשל וכדומה.... דוגמא לזה ניתן למצוא באתר שלי ..הורדתי את הספר לשם הכנסתי סתם סתם פקודה בתוך שורת הדוא"ל ולא קיבלתי שום שגיאה וזה מסיבה פשוטה המערכת לא מבצעת שום בדיקת אימות דוא"ל לפני פירסום ההודעה
אז כנסו ל פה
ותראו דוגמא לדרך הניצול
למיידע אודות החור מהאתר המקורי http://www.frsirt.com/english/advisories/2006/0002 וכמובן שהקרדיט שלהם... מקווה שירבו הסברים מפורטים על חורים מעין אלו
03/01/2006 16:16:49
Sin
ממש תודה ^^ ממש ממש תודה... איזה פירוט 10X ואו איזה הסבר אני ממש לא יודעת... ^^ אבל הסבר טוב מאוד אהבתי
03/01/2006 16:26:18
cp77fk4r
הסבר יפה, אבל בפעם הבאה השתדל לכתוב גם למה זה קורה.
ואגב, במערכת ההיא שנתת לדוגמא, חסר לך "e" אחרי בפונקציה fwrite(), לכן זה לא פועל ;)
03/01/2006 22:25:38
antivirus
חחחחח אז זהו סיפי ששמתי לב...ואז כשהכנסתי e אחרי ה writ זה שלח תהודעה והקוד נעלם חח
03/01/2006 22:59:10
Inj3ction_Boy
קוראים לזה php injection ותודה על המידע (;
03/01/2006 23:20:54
antivirus
אין על מה, וכן ברור שזה sql inj. ולגבי מה שסיפי ביקש להסביר למה זה קורה... אז למי שלא הבין... כל שורה שאנחנו מכניסים לתיבת קלט.. כמו תיבה להכנסת דוא"ל או תיבה להכנסת שם משתמש... נכנסת למחרוזת מסויימת בדף מסויים..ועוברת בדיקה. למשל את התיבה של הדוא"ל התוכנית מכניסה למחרוזת שכובעת מה תיהיה הקוטרת של ההודעה שהשארתם... ואז יוצא שכל מי שמשאיר הודעה, בראש ההודעה שלו כתוב מה הדוא"ל שלו . עכשיו מומלץ בחום לכל מי שבונה כאלה מערכות, להכין בדיקה פשוטה של כל ערך שנכנס לתיבות קלט בתוכנית. סתם לדוגמא..אם המתכנת לא יערוך הגבלת תווים בשם משתמש נוכל להכניס כל כךךך הרבה תווים לשם, שנציף את כל העמוד, ונהרוס את היופי של העמוד. וזה סתם דוגמא ממש פשוטה, לניצול חוסר החשיבה של המתכנת.... מה שקורה אצלינו.. שהמתכנת לא הכין שום בדיקה על הדוא"ל שאנחנו מכניסים, ושום מחרוזת לא בודקת אם הוא דואל אמיתי או מינימום מינימום.. לפחות תקני... ולכן אנחנו יכולים להכניס בתוך הדוא"ל איזה פקודות שאנחנו רוצים , ו"להזריק" פקודות php לתוך המערכת למי שרוצה לדעת עוד על הזרקות יכול לפנות לת’ארד תקסטים פה בפורום או ללכת למאמר מומלץ מאודד מאודדד פה
בהצלחה לכולם
03/01/2006 23:35:12
Inj3ction_Boy
אנטיווירוס שים לב שאמרתי שזה php injection ולא sqlinjection. זה שונה.. והנה הטקסט על php injection: http://www.underwar.co.il/document-details.asp?id=298
04/01/2006 00:18:35
antivirus
אההה אופסס חחח לא שמתי לב אתה צודק טעות שלי פשוט קראתי מהר על כל פנים שים לב שבהסבר שלי כתבתי בפירוש שמזריקים פקודות php :) ותודה על המאמר על כל פנים
08/01/2006 09:39:32
sysctl
הטקסט שיש באתר של ניר ממש מסריח הוא בקושי מסביר על החור
וגם למישהו יש את הסורס של המערכת להעלות ולהביא לי? בסורס פורג’ לא פועל
בחיפושי אחר הסורס הנעלם הגעתי לעוד מקום עם הסבר על החור במידה ומישהו צריך http://archives.neohapsis.com/archives/secunia/2006-q1/0015.html
[ההודעה נערכה על-ידי sysctl ב-08/01/2006 09:41:36][ההודעה נערכה על-ידי sysctl ב-09/01/2006 11:48:23]
08/01/2006 14:04:29
-Hawk-
10x all
11/01/2006 10:54:39
Ghost
ציטוט:הטקסט שיש באתר של ניר ממש מסריח הוא בקושי מסביר על החור
אם תוכל להגיד מה חסר בו, אני אשמח לעדכן אותו(כן, אני יודע שהוא מאוד תמציתי, ולא כולל הכל)... מתן.
11/01/2006 15:44:16
cp77fk4r
מסריח הוא בטוח לא, תמציתי? הגיוני שכן.
מה שבטוח, את הבדיקה עם גוגל אהבתי ;) למרות שיש דרכים יותר "רשמיות" לבדוק את זה.
ואיך אפשר לשפר אותו לפי דעתי? להראות דוגמאות קוד, ואיך אפשר לסדר אותו, לתת דוגמאות למערכות שבהם זה היה/עדיין קיים ואיך בעלי המערכת תיקנו אותו (לדוגמא המערכות פורומים בעלות קוד פתוח שהבאג התגלה בהן, הראות איך כותבי המערכת תיקנו את הבאג, איזה קוד הם שמו וכו’).
אפשר לסדר את הבאג הנ"ל בכמה דרכים, להראות מספר של דרכים ולסקור אותם, לתת את הערכת המצב עליהן, התרונות וחסרונות וכו’
דרכי ניצול, כמובן שכשאתה מוצא PHPInj אפשר להגיד שיש לך שליטה על כל המערכת, אבל עדיין, תקח את הטקסט צעד אחת קדימה ותראה דרכים לניצול, איך אפשר לנצל את הבאג ולעשות דיפייסינג, איך אפשר לנצל את הבאג ולשנות סיסמאות, איך אפשר לנצל את הבאג ולהוריד את כל הקוד של המערכת למחשב ויש עוד בלי סוף שטויות- פשט תקח קצת ותפרט עליהן.
אל תתייחס לתגובה של sysctl ברציונת, אני בטוח שהוא לא התכוון לפגוע, ובכל זאת, אם אתה רוצה לשפר את הטקסט, הראתי לך כמה דוגמאות שאתה יכול להוסיף, בהצלחה.
12/01/2006 15:26:24
sysctl
עאעאעא מה לפגוע P:
התכוונתי שהטקסט מאוד קצר ולא תמציתי כמו שאמרת וגם חסר בו המון חומר לא שניא יכול לעשות יותר טוב אבל אם כבר לעשות אחד אז שיסביר בצורה מעמיקה [ההודעה נערכה על-ידי sysctl ב-12/01/2006 15:28:31]
13/01/2006 10:33:22
Ghost
לא נעלבתי... סבבה, אני אקח את הדברים לתשומת ליבי, ונראה כבר איך אני אשפר את הטקסט. תודה על ההארות!
עמודים:
1
