Хакнули форум v3.1.4

[Ritsuka 540]

'k' - это параметр, использующийся для валидации форм. Он проверяется в дюжине файлов, но всегда в такой:

if ( $this->request['k'] != $this->member->form_hash )

или в такой форме:

if ( $this->request['k'] == $this->member->form_hash

 

Эта форма абсолютно безопасна, поэтому вариантов всего два:

а) на каком-то из нулей на эту переменную привязан шелл;

б) какой-то наивный школьник балуется.

[Bonov 13]

У меня не нулленая, а версия от ИБР. Как я понял, облазив инет, что это все-таки попытка взлома - перебор вариантов и поиск уязвимостей. Более того, все эти ошибки (108) зафиксированы за менее чем 2 минуты, т.е. это какой-то софт... Пусть даже и школьник, но имея инструмент можно много натворить... Особенно не понятно при чем тут какой-то сайт delicass.com.

 

При поиске наткнулся вот на эту статью, где как раз используются похожие параметры...

http://www.xakep.ru/post/49508/

[Ph-A 395]

У меня не нулленая, а версия от ИБР

Школьник это же не знает. А руководствуется, а вдруг повезет.

 

но имея инструмент можно много натворить

Не то слово.

[Ritsuka 540]

Если бы любой платный скрипт можно было бы сломать простым перебором на предмет стандартных ошибок - интернет был бы совсем другим)

 

Статья по ссылке показывает, как можно эксплуатировать типичные ошибки криворуких школьников, берущихся за написание скриптов при полном неумении этим заниматься. Повторяю - проверил код, нигде в официальном дистрибутиве 'k' не используется иначе чем в if для сверки с form_hash. Эта процедура совершенно безопасна, т.е. если бы ваш "хакер" хотел сломать вас - использовать этот параметр для перебора - самый неудачный выбор из всех возможных. Просто чудовищно неудачный. Это все равно, что пытаться поддеть булавкой огромную стотонную банковскую сейфовую дверь. Что говорит о том, что у "хакера" а) нет исходников ipb, б) нет элементарных знаний. Вывод все тот же - какой-то школьник балуется.

 

Статья на "хакере" позабавила - столько пафоса в конце - "новая эра мегазвлома", "уязвимость в самом php!!!". Однако все начинается с - "допустим, все вкоруг - идиоты, а мы - кулхацкеры", и сразу после этого допущения в include появляется $_GET с минимальными проверками, а на сервере отключается open_basedir и safe_mode. Ага. Все прямо на блюдечке с голубой каемочкой. Статья не о взломе, а о том, "как наказать неквалифицированных админов".

[Bonov 13]

Ritsuka, спасибо Вам большое за подробный комментарий. Хорошо то, что не сломали, и что безопасно. Но интересны утилиты, с помощью которых все это проделывается, чтобы попытаться как-то заранее продумывать возможные варианты взлома и методы защиты от них.

 

Я, кстати, пока на виртуальном хостинге, поэтому не застрахован от ошибок админов, которым иногда проще сделать все для клиентов, лишь бы отстали, а потом извиниться, если кто что взломает...

 

К журналу Хакер никогда серьезно не относился, но для принятия к сведению можно почитать и его.