Pingvi 27 янв 2012 в 15:07

История одного ресурса

3 мин

1.4K

Комментарии 31

shanker 27 янв 2012 в 15:53

С чем была связана ошибка на форуме? Где косяк: настройка веб сервера или в самих скриптах проекта? Каким образом она была устранена?

biophreak 27 янв 2012 в 16:11

Скорее скрипт error.php просто представлял собой что-то типа:
<? echo $_GET['msg'] ?>
Вот и вся ошибка.
Самое простое устранение — это эскейпить все символы из параметров, которые пришли извне. Ну или фильтровать.

Nikitian 27 янв 2012 в 16:33

Самое простое устранение — ставить сессионные куки с флагом httponly.

-1

biophreak 27 янв 2012 в 16:59

Возможно это и есть решение конкретной проблемы, но уязвимости это не пофиксит.

Raz0r 27 янв 2012 в 17:06

Фильтровать все равно нужно, хотя httpOnly так же обязателен. Кстати, IPB ставит httpOnly-куки с версии 2.2.0. Сейчас так просто XSS не провернуть.

Pingvi 27 янв 2012 в 16:43

Да, так оно и было. Решили проблему фильтрацией данных

shanker 27 янв 2012 в 18:34

В Denwer я обнаружил точь в точь такую же уязвимость ещё в далёком 2006

AlexeiKozlov 27 янв 2012 в 16:04

Вообще, статья наталкивает на идею, как прорекламировать свой сайт на хабре :)
Пишет php страничку позволяющую делать XSS, а дальше все как в этой статье.

НЛО прилетело и опубликовало эту надпись здесь

venn 27 янв 2012 в 16:15

Видимо, о каждом более-менее известном.

JonNiBravo 27 янв 2012 в 16:21

<script>alert('[sarcasm]Какая захватывающая история[/sarcasm]');</script>

+11

egetmanenko 27 янв 2012 в 17:38

И в чём профит этой «атаки»?

-4

Ekstazi 27 янв 2012 в 19:54

Узнал куку — получил доступ.

xSeth 27 янв 2012 в 20:01

Да да да. Проверил при старте сессии ИП при создании сесии и с какого ИП идет обращение — несовпало, аааа нас хакают.

-3

НЛО прилетело и опубликовало эту надпись здесь

Bobos 27 янв 2012 в 22:41

Если сайт целиком построен на flash, никакой XSS ему на страшен :) По крайней мере ИМХО

-5

HnH 27 янв 2012 в 22:49

Ага, как и поисковые роботы, javascript и прочие ништяки :)

Riateche 27 янв 2012 в 23:48

А если сайт статический, то ему вообще почти ничего не страшно.

Bobos 27 янв 2012 в 23:59

Я вам глубоко сочувствую

-3

vitalikk 28 янв 2012 в 00:44

Ему страшно за свое будущее.

matiouchkine 28 янв 2012 в 15:44

Зато он по праву может гордиться своим прошлым!

НЛО прилетело и опубликовало эту надпись здесь

Bobos 28 янв 2012 в 06:06

Продолжайте думать шаблонно, господин теоретик, а когда обзаведетесь маком — возвращайтесь, по-дискуссируем

НЛО прилетело и опубликовало эту надпись здесь

Bobos 28 янв 2012 в 06:33

www.whoismafia.com

НЛО прилетело и опубликовало эту надпись здесь

Bobos 29 янв 2012 в 21:50

Ух. Тяжело вам. Надеюсь, скоро разработчики смогут нормально интегрировать флеш в макос, сможете с нами играть :)

hg_04 28 янв 2012 в 01:53

что то я не уловил сути, в ipb все входящие теги сразу преобразовываются и что бы провести атаку нужно более сложный запрос отправить нежели Ваш, разве, что база знаний написана не по канонам ipb 1.*, пусть даже так, но ведь сессия привязана к ip (в 2.0+ так точно). Вам точно удалось получить полезную инфу от пользователя? :)

hg_04 28 янв 2012 в 01:58

как вариант XSRF но статья этот момент не затрагивает.

Pingvi 28 янв 2012 в 08:29

Не, это не CSRF/XSRF. Описано использование пассивной XSS.
Куки от форума удалось получить из-за специфичной настройки (они действовали для всего домена).

Pingvi 28 янв 2012 в 08:25

C ipb нечего не вышло, а вот база знаний — самописная. Уязвимость удалось обнаружить из-за доверия программиста к полученным данным от пользователя.

В конфигурации есть настройка — привязывать сессию к IP, на тот момент она была выключена.

Зарегистрируйтесь на Хабре, чтобы оставить комментарий

Показать лучшие за всё время

История одного ресурса

Комментарии 31

Публикации

Истории