Уязвимости форумов Invision Power Board

[ImUgh]

Хм, откуда такие выводы?

Да так, личные опыты + ответы людей в этом форуме

 

От каких настроек зависит?

Абслоютно без понятия.

От каких-то настроек безопасности, очевидно .......

[nafigator]

Хм, откуда такие выводы?

Да так, личные опыты + ответы людей в этом форуме

 

От каких настроек зависит?

Абслоютно без понятия.

От каких-то настроек безопасности, очевидно .......

<{POST_SNAPBACK}>

 

Вы заблуждаетесь.

[Vic'er]

От каких настроек зависит?

<{POST_SNAPBACK}>

от того включен или нет параметр magic_quotes_gpc

[MiXoiD]

Vicer, ну а если отключить magic_quotes_gpc.

Насколько Форуму хуже станет?!

[nafigator]

Не думаю, что безопасность хорошего скрипта должна зависеть от параметров интерпретатора.

[Vic'er]

Vicer, ну а если отключить magic_quotes_gpc.

Насколько Форуму хуже станет?!

<{POST_SNAPBACK}>

 

Хуже не станет

 

Не думаю, что безопасность хорошего скрипта должна зависеть от параметров интерпретатора.

Любая система зависит от внешних параметров, и чем она сложнее, тем зависимее.

[MiXoiD]

Ок. Тогда отключаю.

Если что-то заглючит сообщу.

[nafigator]

Любая система зависит от внешних параметров, и чем она сложнее, тем зависимее.

2.0.4 от этого не страдает, так что не надо ля-ля

[dfc_darkman]

Еще можна проверять на наличие только алфавитно-цифровых символов

 

например, так:

 

$pid = (!preg_match('/^([0-9A-Za-z]){32}$/', $std->my_getcookie('pass_hash')))?$std->my_getcookie('pass_hash'):"";

 

Что скажете?

<{POST_SNAPBACK}>

 

А это не повлияет на вход если у некоторых имена на кирилице?

[nafigator]

Нет. Пароли-то не на кириллице

[dfc_darkman]

ааа

так это к паролям относиться? а есть же народ который и на кирилице пароли наберает

[Vic'er]

пароли в куках хранятся в MD5 хеше, а он представляет собой 32х символьную алфавитно-цифровую последовательность, без пробелов, кавычек и всяких других символов, а значит... )))) зачем нам давать возможность что-либо туда подставлять...

[-winux-]

Давайте лучше обсудим как багу закрыть. Как ломать я уже знаю.

[ImUgh]

-winux-

уже закрыли

Уязвимости форумов Invision Power Board

 

оно же - тремя постами выше!

[-winux-]

Так скажите что сделать надо?

У меня 2.0.4 и баг открыт!

[Vic'er]

Млин, я только что втыкнул, какую я оопечатку здесь допустил

 

Это правильно

 

$pid = $std->my_getcookie('pass_hash');
меняем на
$pid = (strlen(trim($std->my_getcookie('pass_hash')))==32)?$std->my_getcookie('pass_hash'):"";

 

а в таком варианте не

 

$pid = (!preg_match('/^([0-9A-Za-z]){32}$/', $std->my_getcookie('pass_hash')))?$std->my_getcookie('pass_hash'):"";

 

так как автологин вообще отключится, а

 

$pid = (preg_match('/^([0-9A-Za-z]){32}$/', $std->my_getcookie('pass_hash')))?$std->my_getcookie('pass_hash'):"";

извините, не бейте сильно, хотя, судя по отсутствию комментов использовали в основном первый вариант

[ImUgh]

Vicer

на самом деле, просто никто не пользуется автологином

в том смысле, что данный фикс (а соответсвенно и баг) относится к случаю, когда идет запрос типа

index.php?act=Login&CODE=autologin

 

на самом деле этот запрос вообще не нужен - при заходе на любую страницу форум тебя авторизует по кукам и без вызова этого автологина

просто через functions.php -> authorise()

 

вот так

 

 

ЗЫ А запросы с act=Login&CODE=autologin используются только после регистрации или подтверждения емайл юзера.

из-за такой мелочи (фактически ненужной) - такая "шикарная" уязвимость

[dfc_darkman]

Vicer

так что!?

$pid = (!preg_match('/^([0-9A-Za-z]){32}$/', $std->my_getcookie('pass_hash')))?$std->my_getcookie('pass_hash'):"";

этот вариант можно не использовать!?

я выбрал первый.

так всё? баг закрыт получается?

 

ImUgh

еще раз

можно? я не совсем врубился...

как отключить автологин? или же он включается только когда регистрируется?

спасибо

[Vic'er]

Vicer

так что!?

$pid = (!preg_match('/^([0-9A-Za-z]){32}$/', $std->my_getcookie('pass_hash')))?$std->my_getcookie('pass_hash'):"";

этот вариант можно не использовать!?

я выбрал первый.

так всё? баг закрыт получается?

<{POST_SNAPBACK}>

 

Если первый, то закрыт, если второй, который в предыдущем посте, с попроавкой,

$pid = (preg_match('/^([0-9A-Za-z]){32}$/', $std->my_getcookie('pass_hash')))?$std->my_getcookie('pass_hash'):"";

то тоже закрыт. и там тем более ни при каких случаях не пролезут

[seba]

2Vicer

а как насчет вотэтих слов:

>>Понимаю, что временная заплата, но уж лучше, чем к утру потерять форум

 

т.е. есть еще теоретически лазейка?

 

Ну и вот еще задачка:

18 мая 2005

 

Межсайтовый скриптинг при обработке utf-7 кодировки в различных форумах

 

Уязвимость позволяет удаленному пользователю произвести XSS нападение и получить доступ к потенциально важным данным других пользователей.

Программа: vBulletin, Invision Power Board, Phorum, Web Wiz и другие форумы

 

Опасность: Низкая

 

Наличие эксплоита: Да

 

Описание:

Уязвимость позволяет удаленному пользователю произвести XSS нападение и получить доступ к потенциально важным данным других пользователей.

 

Уязвимость существует при установленном автоматическом выборе кодировки в браузере. Удаленный пользователь может обойти правила фильтрации потенциально опасных символов в различных форумах, сохранив злонамеренный HTML код в кодировке utf-7 и выполнить его в браузере жертвы в контексте безопасности уязвимого сайта. Пример:

 

<title>vBulletin Community Forum - +ADw-/title+AD4APA-script+AD4-alert(document.cookie)+ADsAPA-/script+AD4-</title>

 

Решение: Способов устранения уязвимости не существует в настоящее время.

securitylab.ru

[ImUgh]

dfc_darkman

 

еще раз можно?  я не совсем врубился...

как отключить автологин? или же он включается только когда регистрируется?

спасибо

не надо ничего отключать

я говорил, что запрос с автологинм используется только после регистрации.

поэтому ошибку во втором варианте заплатке от Vicer никто и не заметил.

[dfc_darkman]

ImUgh

ok

thanks

[Dekker]

запутали, приведите окончательный вариант и подпишитесь "Verify мин нет"

[Vic'er]

Verify мин нет

 

в sources/Login.php

 

 $pid = $std->my_getcookie('pass_hash');
меняем на
$pid = (preg_match('/^([0-9A-Za-z]){32}$/', $std->my_getcookie('pass_hash')))?$std->my_getcookie('pass_hash'):"";

[SplideX]

Verify мин нет

 

в sources/Login.php

 

 $pid = $std->my_getcookie('pass_hash');
меняем на
$pid = (preg_match('/^([0-9A-Za-z]){32}$/', $std->my_getcookie('pass_hash')))?$std->my_getcookie('pass_hash'):"";

<{POST_SNAPBACK}>

на 1.3 всё равно хачится.