|
07. 11. 2006. | #1 |
Direktor Kombinata
Invented the damn thing
Datum učlanjenja: 07.06.2005
Poruke: 2.669
Hvala: 44
119 "Hvala" u 64 poruka
|
Pretpostavimo da je struktura ovakva:
Kôd:
/pages/ /pages/homepage.php /pages/about.php index.php PHP kôd:
__________________
activeCollab - Project Management and Collaboration Tool iz domaće kuhinje | area51.rs - Blog |
07. 11. 2006. | #2 |
Goran Pilipović
Sir Write-a-Lot
|
Uh bre, Misko, pa to je jedna od prvih "NO-NO" stvari koje treba da naučiš. Ima dosta članaka na temu security i PHP, trebalo bi da potrošiš par dana da pročitaš to pa onda da prepraviš svoj kod.
Možda izgleda kao veliki napor, ali veruj mi da ćeš se rešiti glavobolja kao što je ova. Pročitaš jednom i "vozi miško"
__________________
Goran Pilipović a.k.a. Ugly Fingers Bradley f.k.a. bluesman I don't always know what I'm talking about but I know I'm right! |
07. 11. 2006. | #3 |
majstor
Wrote a book
|
Ilijin nacin ima i dobrih i losih stvari:
- na taj nacin, lako inkludujes nove stranice bez ikakvog 'instaliranja' - isto tako haker moze tako da ukljuci stranice koje ti ne zelis da javno prikazes. Jedan nacin bi bio da napravis (kako se zvase.... ) niz : ["p1"] = "page1.php"; ["p2"] = "otherpage2.php"; ........ Tako kad zelis da uradis include, prvo provjeris da li se element nalazi u nizu, ako jeste, inkludujes tacno stranicu koja je u nizu (a ti si napunio taj niz). |
07. 11. 2006. | #4 |
Direktor Kombinata
Invented the damn thing
Datum učlanjenja: 07.06.2005
Poruke: 2.669
Hvala: 44
119 "Hvala" u 64 poruka
|
Način funkcionisanja ove skriptice je prilično jednostavan:
* sve što je u /pages može biti prikazano automatski, nema "instaliranja"... * sve van /pages je nevidljivo skripti (tj. haker ne može da ga koristi) * pošto se koriti apsolutni path nema protokola tako da nema učitavanja resursa spolja * forsirana je .php ekstenzija tako da sama stranica mora da bude izvršiva Ako nešto ne želi da bude dostupno kroz index.php neka ga ne stavalja u /pages. Jako jednostavno... Ovo je jedno od onih "sipaš i ne misliš" rešenja. Strašno je jednostavno, a opet ga je teško oboriti.
__________________
activeCollab - Project Management and Collaboration Tool iz domaće kuhinje | area51.rs - Blog |
07. 11. 2006. | #5 |
old school
Expert
Datum učlanjenja: 29.04.2006
Poruke: 464
Hvala: 39
48 "Hvala" u 28 poruka
|
Ajde jedno pitanje, ako neko zna odgovor. Da se nadovezem na ovu temu.
Imao sam bas ovakav nacin upada pre neki dan na mom serveru. tip je bukalno imao kod ovog tipa: Kôd:
if (isset($_GET['page])) { require($_GET['page]); i sta se desilo.... dosao pametni haker i poslao kao parametar za page neki svoj url, i onda mu se u okviru ovog sajta otvorila neka web konzola. I on je bukvalno kroz konzolu mogao da uploaduje fajlve na moj server, i da pokrece programe na mom serveru. E sad. Kako moze da radi upload?? Aj to cu i da shvatim, ali kako bre moze na taj nacin da pokrene neki program koji se izvrsava na mom serveru any hint? |
07. 11. 2006. | #6 |
Predrag Supurović
Grand Master
Datum učlanjenja: 24.01.2006
Lokacija: Užice
Poruke: 791
Hvala: 3
200 "Hvala" u 12 poruka
|
Onog momenta kada dodje u situaciju da izvrsi svoj PHP kod, moze da uradi sve sto je PHP-u doyvoleno a to manje/vise znaci sve.
imas u stvari jednostavan trik protiv toga, samo uvedi nekiprefiks za ime datoteke koju inkludujes tako daces da zeznes bilo kakav podmetnut sadrzaj. to je naravno samo brza precica, ali moze da odradi posao ko ti je nezgodno da odrzavas listu dozvoljenih skriptova. Jos je bolja opciaj da oznaka strane budeneki id a da se na osnovi ID-a u stvari odnekud procitakoji se tacno skript ucitava. Tadane moras da radis neku veliku proveru, prosto ako ID nije definisan, prijavis gresku. Na taj nacin ustvari najbolje izolujes hakera od include i require.
__________________
Peđina beležnica (blog) - www.uzice.net - wireless.uzice.net - www.vokabular.org - www.vodic.net - forum.uzice.net |
07. 11. 2006. | #7 |
majstor
Wrote a book
|
Aleks: Nisam siguran, ali mislim da je moguce da ucita PHPShell i da na osnovu toga izvrsava fakticki bilo koju komandu. Ako nije to u pitanju, vidjao sam custom-made skripte koje dozvoljavaju takve akcije (cak sam imao tako nesto na disku).
Takodje nisam siguran (ideja) mislim da se u php.ini moze zabraniti include URL-a unutar parametara ili tako neka fora, ne znam na pamet. |
07. 11. 2006. | #8 | |
Super Moderator
Invented the damn thing
Datum učlanjenja: 06.06.2005
Poruke: 2.371
Hvala: 370
701 "Hvala" u 194 poruka
|
Citat:
|
|
07. 11. 2006. | #9 |
banned
Professional
Datum učlanjenja: 04.06.2005
Poruke: 371
Hvala: 0
738 "Hvala" u 83 poruka
|
>= PHP 5.1.0
//php.ini Kôd:
allow_url_include = Off a postoji i allow_url_fopen
__________________
Don't look at me; I'm lost too. “If you can't dazzle them with brilliance, baffle them with bul*s**t.” Poslednja izmena od Br@nkoR : 07. 11. 2006. u 20:28. |
07. 11. 2006. | #10 |
old school
Expert
Datum učlanjenja: 29.04.2006
Poruke: 464
Hvala: 39
48 "Hvala" u 28 poruka
|
hm, ja licno znam za taj allow_url_include. I nije meni problem da zastitim svoj kod protiv ovakvih napada. Stavise, nijedna moja skripta nije ranjiva na ovakav tip napada. Nego mene zanima kako da napravim skriptu koja moze se tako includuje preko url-a i da radi na server na kome je includovana
|
|
|
Slične teme | ||||
Tema | Početna poruka teme | Forum | Odgovori | Poslednja poruka |
Pokusaj hakovanja ili... | mLAN | Sva početnička pitanja | 3 | 05. 12. 2010. 23:41 |
zaštita fotografija na web-u | japan | Web aplikacije, web servisi i software | 6 | 14. 12. 2007. 18:16 |
Zaštita od DDoS napada | LiquidBrain | Web Hosting, web serveri i operativni sistemi | 16 | 05. 08. 2007. 19:52 |