Защита в phpBB

[Mr. Anderson]

Vladson
Ты о чем?

[Vladson]

Я о закачке JavaScript вместо аватары (поиск рулит )
http://phpbbguru.net/community/viewtopic.php?t=3479

[Vovochka]

Ну хоть кто-то понял, о чем я там распинался...

[Mr. Anderson]

Vladson
Это, простите, даже близко не XSS... Хотя как кто назовет...

[Vladson]

Vovochka
Я понял это сразу и тут же начал работу над заделкой

(на http://xtgamers.com уже заделал возможно скоро мод заделывающий это дыру появится в открытом доступе)

[ra]

Vladson, а может давай задефейсим phpbb.com? А они уже и сами фикс напишут.

Добавлено спустя 1 минуту 38 секунд:

Это наммёк на то что, дыры должны заделывать разработчики, а не пользователи.

[Vladson]

R@
Пока они родят уже пол нета сгинет

[Vladson]

Вот короче заплатка, пока нету оф.обновления ставим и радуемся жизни

Код: Выделить всё

##############################################################
## MOD Title: Sploit in Avatar fix
## MOD Author: Vladson < dkflbk@nm.ru > (n/a) http://dkflbk.nm.ru/
## MOD Description: Security fix in avatar upload
## MOD Version: 1.1.0
##
## Installation Level: Easy
## Installation Time: 1 Minutes
## Files To Edit (n/a): includes/usercp_avatar.php
## Included Files: (n/a):
##############################################################
## For Security Purposes, Please Check: http://www.phpbbguru.net/mods/ for the
## latest version of this MOD. Downloading this MOD from other sites could cause malicious code
## to enter into your phpBB Forum. As such, phpBB will not offer support for MOD's not offered
## in our MOD-Database, located at: http://www.phpbbguru.net/mods/
##############################################################
## Author Notes:
##
##############################################################
## MOD History:
##
##   2005-06-19 - 1.1.0
##      - Other One
##
##   2005-06-18 - 1.0.0
##      - First One
##
##############################################################
## Before Adding This MOD To Your Forum, You Should Back Up All Files Related To This MOD
##############################################################

#
#-----[ OPEN ]------------------------------------------
#
includes/usercp_avatar.php

#
#-----[ FIND ]------------------------------------------
#
   if ( $width <= $board_config['avatar_max_width'] && $height <= $board_config['avatar_max_height'] )

#
#-----[ REPLACE WITH ]------------------------------------------
#
   if ( $width > 0 && $height > 0 && $width <= $board_config['avatar_max_width'] && $height <= $board_config['avatar_max_height'] )

#
#-----[ SAVE/CLOSE ALL FILES ]------------------------------------------
#
# EoM

[sigal]

Vladson
что делает в кратце раскажь.

[Vladson]

поиск рулит http://phpbbguru.net/community/viewtopic.php?t=3479

[Coagulant]

Vladson
А phpBB Team в курсе? Уже озадачены исправлением новой бреши в защите?

Что теоретически можно сделать с форумом через эту дырку?

[Vladson]

Coagulant
В принципе это обычный XSS и можно форуму принести много неприятностей, однако при условии что админ в курсе что такое XSS реальный ущерб нанести будет затруднительно...

рнрВВ Team в курсе, ещё 18-го Xpert об этои позаботился.

[Abuzzz]

А если закачка аватар с URL отключена, то надо беспокоиться?

[Vladson]

Abuzzz Желательно, закачка на сервер "вредоносного кода" возможна и с URL и с локального компъютера...

[Splurov]

http://www.securitylab.ru/55420.html
Очень серьёзная уязвимость. Кто может разобраться в этом C-коде, может скажите на чём там основывается атака.