XSS behatolás?

[Balázs Házi]

Kedves Mindnyájan!

 

Aztr gyanítjuk, minden egyéb lehetőség legteljesebb körű kizárásával, hogy egy viszonylag kisebb forgalmú oldalunkat cross site scripting technikával támadhattak meg. Ez konkrétan, látható módon úgy manifesztálódott, hogy az oldalt "indító" index.php módosult, és az elejére beíródott egy JS kód, amely vmi malware-t akart letöltetni/lefuttatni a kliens gépén.

A kérdés a következő: tudja-e valaki, hogy milyen módon lehet (lehet-e egyáltalán?) írási joghoz jutni XSS segítségével, és így (lényegében a DocRoot-on vagy a PHP hatáskörén belül) tetszőleges fájlt módosítani?

És a htmlspecialchars/htmlentities stb. megoldásokon kívül esetleg van-e további mód a védekezésre ellene?

 

Köszi, üdv:

Balázs

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Böszörményi]

Some parts of this message have been removed. Learn more about Nabble's security policy.

Hello!

 

Ez egy FTP behatolás, valszeg a TCMD listádat törte meg, és az alapján támadott.

 

FTP jelszó csere!!!!

 

index és config fileket támadja...

 

----- Original Message -----

From: hbalazs@...

To: wl-phplista@...

Sent: Thursday, October 01, 2009 6:15 PM

Subject: [wl-phplista] XSS behatolás?

Kedves Mindnyájan!

 

Aztr gyanítjuk, minden egyéb lehetőség legteljesebb körű kizárásával, hogy egy viszonylag kisebb forgalmú oldalunkat cross site scripting technikával támadhattak meg. Ez konkrétan, látható módon úgy manifesztálódott, hogy az oldalt "indító" index.php módosult, és az elejére beíródott egy JS kód, amely vmi malware-t akart letöltetni/lefuttatni a kliens gépén.

A kérdés a következő: tudja-e valaki, hogy milyen módon lehet (lehet-e egyáltalán?) írási joghoz jutni XSS segítségével, és így (lényegében a DocRoot-on vagy a PHP hatáskörén belül) tetszőleges fájlt módosítani?

És a htmlspecialchars/htmlentities stb. megoldásokon kívül esetleg van-e további mód a védekezésre ellene?

 

Köszi, üdv:

Balázs

---

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Illó Gábor]

2009/10/1 Sári Évi <keylab@...>:
> Hello!
>
> Ez egy FTP behatolás, valszeg a TCMD listádat törte meg, és az alapján
> támadott.
>
> FTP jelszó csere!!!!
>
> index és config fileket támadja...
>

Igen, már kérdeztem én is ezt, csak akkor ott épp egy hidden
iframe-ben akarta letölteni a káros programot. A hiba tehát valaki
olyannál keresendő, aki hozzáfér a fötöpö-hez :-)

>
> ----- Original Message -----
> From: Balázs Házi
> To: weblabor PHP levlista
> Sent: Thursday, October 01, 2009 6:15 PM
> Subject: [wl-phplista] XSS behatolás?
> Kedves Mindnyájan!
>
> Aztr gyanítjuk, minden egyéb lehetőség legteljesebb körű kizárásával, hogy
> egy viszonylag kisebb forgalmú oldalunkat cross site scripting technikával
> támadhattak meg. Ez konkrétan, látható módon úgy manifesztálódott, hogy az
> oldalt "indító" index.php módosult, és az elejére beíródott egy JS kód,
> amely vmi malware-t akart letöltetni/lefuttatni a kliens gépén.
> A kérdés a következő: tudja-e valaki, hogy milyen módon lehet (lehet-e
> egyáltalán?) írási joghoz jutni XSS segítségével, és így (lényegében a
> DocRoot-on vagy a PHP hatáskörén belül) tetszőleges fájlt módosítani?
> És a htmlspecialchars/htmlentities stb. megoldásokon kívül esetleg van-e
> további mód a védekezésre ellene?
>
> Köszi, üdv:
> Balázs

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[dasa, Radharadhya]

XSS kliens oldalon fut, inkább a felhasználói adatokat szokják vele
lopkodni. Elküldenéd a módosított index fájlt nekem? Gyüjtöm az
ilyesmiket.

rrd

2009/10/1 Balázs Házi <hbalazs@...>:

> Kedves Mindnyájan!
>
> Aztr gyanítjuk, minden egyéb lehetőség legteljesebb körű kizárásával, hogy
> egy viszonylag kisebb forgalmú oldalunkat cross site scripting technikával
> támadhattak meg. Ez konkrétan, látható módon úgy manifesztálódott, hogy az
> oldalt "indító" index.php módosult, és az elejére beíródott egy JS kód,
> amely vmi malware-t akart letöltetni/lefuttatni a kliens gépén.
> A kérdés a következő: tudja-e valaki, hogy milyen módon lehet (lehet-e
> egyáltalán?) írási joghoz jutni XSS segítségével, és így (lényegében a
> DocRoot-on vagy a PHP hatáskörén belül) tetszőleges fájlt módosítani?
> És a htmlspecialchars/htmlentities stb. megoldásokon kívül esetleg van-e
> további mód a védekezésre ellene?
>
> Köszi, üdv:
> Balázs
> --
> Weblabor hírlevél: http://weblabor.hu/hirlevel
> --
> wl-phplista (wl-phplista@...) levelezőlista
> https://bors.hoszting.com/mailman/listinfo/wl-phplista
> Keresheto archivum: http://weblabor.hu/kereses
> --
> etikett: http://weblabor.hu/levlistak/illemszabaly
> offlista: https://weblabor.hu/levlistak
>

--
http://webmania.cc
http://twitter.com/rrd
--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Ámon Tamás]

Az XSS nem azt jelenti, hogy valaki a .html-be beírt egy javascriptet,
hanem, hogy valami egyéb helyen pld. hozzászólásban rejtett el
javascript kódot.
Amit te irsz, ott talan a totalcommander a ludas, azt hiszem azt
szoktak fertozni. A kiirtas gyors es fajdalommentes, a google
rabeszelese 1 nap.
Ahogy Sári Évi is mondja sürgős ftp jelszó csere, illetve teljes ftp
csere scp-re. (Mikor felejtjük el már ezt az ftp-t?)

2009/10/1 Balázs Házi <hbalazs@...>:

> Kedves Mindnyájan!
>
> Aztr gyanítjuk, minden egyéb lehetőség legteljesebb körű kizárásával, hogy
> egy viszonylag kisebb forgalmú oldalunkat cross site scripting technikával
> támadhattak meg. Ez konkrétan, látható módon úgy manifesztálódott, hogy az
> oldalt "indító" index.php módosult, és az elejére beíródott egy JS kód,
> amely vmi malware-t akart letöltetni/lefuttatni a kliens gépén.
> A kérdés a következő: tudja-e valaki, hogy milyen módon lehet (lehet-e
> egyáltalán?) írási joghoz jutni XSS segítségével, és így (lényegében a
> DocRoot-on vagy a PHP hatáskörén belül) tetszőleges fájlt módosítani?
> És a htmlspecialchars/htmlentities stb. megoldásokon kívül esetleg van-e
> további mód a védekezésre ellene?
>
> Köszi, üdv:
> Balázs
> --
> Weblabor hírlevél: http://weblabor.hu/hirlevel
> --
> wl-phplista (wl-phplista@...) levelezőlista
> https://bors.hoszting.com/mailman/listinfo/wl-phplista
> Keresheto archivum: http://weblabor.hu/kereses
> --
> etikett: http://weblabor.hu/levlistak/illemszabaly
> offlista: https://weblabor.hu/levlistak
>

--
Ámon Tamás
Sent from Budapest, BU, Hungary
--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Vasóczki Ferenc]

Sziasztok!

Bocsánat, hogy érdemben nem szólok hozzá, nem böngésztem a TC fórumokat, nem
kezdenek / kezdtek el ezen dolgozni, nem tudja valaki?
Elég sok thread megy mostanában erről.

Én átállnék filezillára, de ott sajnos nincs import, márpedig felépíteni
majd 50 kapcsolatot hosztokkal, usernévvel, stb... elég sok idő lenne.
Kerestem, de nem találtam erre toolt.

Vasó

> -----Original Message-----
> From: wl-phplista-bounces@...
> [mailto:wl-phplista-bounces@...] On Behalf Of Ámon Tamás
> Sent: Thursday, October 01, 2009 8:50 PM
> To: weblabor PHP levlista
> Subject: Re: [wl-phplista] XSS behatolás?
>
> Az XSS nem azt jelenti, hogy valaki a .html-be beírt egy
> javascriptet, hanem, hogy valami egyéb helyen pld.
> hozzászólásban rejtett el javascript kódot.
> Amit te irsz, ott talan a totalcommander a ludas, azt hiszem
> azt szoktak fertozni. A kiirtas gyors es fajdalommentes, a
> google rabeszelese 1 nap.
> Ahogy Sári Évi is mondja sürgős ftp jelszó csere, illetve
> teljes ftp csere scp-re. (Mikor felejtjük el már ezt az ftp-t?)

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Gángó Vince]

Szia!

Vasóczki Ferenc írta:
> Bocsánat, hogy érdemben nem szólok hozzá, nem böngésztem a TC fórumokat, nem
> kezdenek / kezdtek el ezen dolgozni, nem tudja valaki?

Ha az a kérdés, hogy biztonságosan tárolja-e a TC az ftp jelszavakat, a
válasz igen. A 7.5 verzió egyik újdonsága: "Protect the stored ftp
passwords with a master password using AES256 encryption"

Annyi "hátránya" van a dolognak, hogy minden egyes ftp csatlakozáskor
kéri a master passwordöt.

Vince
--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Fajth István-2]

Gángó Vince írta:

> Szia!
>
> Vasóczki Ferenc írta:
>  
>> Bocsánat, hogy érdemben nem szólok hozzá, nem böngésztem a TC fórumokat, nem
>> kezdenek / kezdtek el ezen dolgozni, nem tudja valaki?
>>    
>
> Ha az a kérdés, hogy biztonságosan tárolja-e a TC az ftp jelszavakat, a
> válasz igen. A 7.5 verzió egyik újdonsága: "Protect the stored ftp
> passwords with a master password using AES256 encryption"
>
> Annyi "hátránya" van a dolognak, hogy minden egyes ftp csatlakozáskor
> kéri a master passwordöt.
>
> Vince
>  

Ami azért jo mert a usert idegesíti a kedves hacker meg ha ügyes akkor
lesniffeli a kapcsolatot és a küldött csomagokból ugyanúgy kiszedi az
ftp jelszót, ami plain/text módon utazik a csomagban... En legalabbis
meg igy emlekszem... csere scp-re az sokat javít a biztonságon, meg egy
jó vírusirtó, mert ahova egy Total commander jelszofájlt ellopó malware
bejut, oda bejut akármi más is...

Pifta
--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Kókai László]

On 2009.10.01., at 20:50, Ámon Tamás <sajt@...> wrote:

>
> csere scp-re. (Mikor felejtjük el már ezt az ftp-t?)
>

Mar nem azert, de itt az ftp klienst butykolte meg a gizmo. Ennyi
erovel az scp klienst is butykolheti. Nem az ftp protokoll gyengeseget
hasznalta ki, hanem a kliensprogramet...

Udv,
Zila
--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Belovai Árpád]

A Total Commanderhez is van egy sftp plugin, csak azt nem tudom mennyire biztoságos. Van ott is mesterjelszó és elvileg azzal crypteli el a jelszavakat, ezt egyszer kell csak megadni, aztán szabadon lehet csatlakozni az ftp-k hez.

Nah most hogy ebből mennyi igaz, azt nem tudom, de ha nincs remélem nem annyira gyenge végdelem mert én ezt használom.

Árpi

2009/10/1 Ámon Tamás <sajt@...>

Az XSS nem azt jelenti, hogy valaki a .html-be beírt egy javascriptet,
hanem, hogy valami egyéb helyen pld. hozzászólásban rejtett el
javascript kódot.
Amit te irsz, ott talan a totalcommander a ludas, azt hiszem azt
szoktak fertozni. A kiirtas gyors es fajdalommentes, a google
rabeszelese 1 nap.
Ahogy Sári Évi is mondja sürgős ftp jelszó csere, illetve teljes ftp
csere scp-re. (Mikor felejtjük el már ezt az ftp-t?)

2009/10/1 Balázs Házi <hbalazs@...>:

> Kedves Mindnyájan!
>
> Aztr gyanítjuk, minden egyéb lehetőség legteljesebb körű kizárásával, hogy
> egy viszonylag kisebb forgalmú oldalunkat cross site scripting technikával
> támadhattak meg. Ez konkrétan, látható módon úgy manifesztálódott, hogy az
> oldalt "indító" index.php módosult, és az elejére beíródott egy JS kód,
> amely vmi malware-t akart letöltetni/lefuttatni a kliens gépén.
> A kérdés a következő: tudja-e valaki, hogy milyen módon lehet (lehet-e
> egyáltalán?) írási joghoz jutni XSS segítségével, és így (lényegében a
> DocRoot-on vagy a PHP hatáskörén belül) tetszőleges fájlt módosítani?
> És a htmlspecialchars/htmlentities stb. megoldásokon kívül esetleg van-e
> további mód a védekezésre ellene?
>
> Köszi, üdv:
> Balázs

> --
> Weblabor hírlevél: http://weblabor.hu/hirlevel
> --
> wl-phplista (wl-phplista@...) levelezőlista
> https://bors.hoszting.com/mailman/listinfo/wl-phplista
> Keresheto archivum: http://weblabor.hu/kereses
> --
> etikett: http://weblabor.hu/levlistak/illemszabaly
> offlista: https://weblabor.hu/levlistak
>



--

Ámon Tamás
Sent from Budapest, BU, Hungary
--

Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

--
Belovai Árpád

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Balázs Házi]

Sziasztok,

 

köszi mindenkinek a választ. Bocsánat, hogy csak burkoltan írtam, hogy minden egyéb lehetőséget kizártunk, az első volt az FTP lecserélése SSH-ra, és jelenleg egy kezem is sok megszámolni, hány gépről férünk hozzá a szerverhez (a rendszergazdát leszámítva).

Ám ezután is két behatolásunk volt, és az egyik konkrétan egy .js állományt írt át, de épp úgy, mint amikor az index.php-t, vagyis egyszerűen csak másik, rejtettebb helyet talált a kódjának. A legutolsó pedig simán egy redirect sorra cserélte az index.php-t és a .htaccess-t is egyetlen sorosra írta át.

Érdekes módon a korábbi behatolásoknál az érintett fájlok ownere www-data-ra módosult, ami elvileg a PHP-t (is) jelenti, vagyis az átírást esetleg egy php szkript hajtotta végre. A legutolsó alkalommal viszont maradt az én "tulajdonomban" mindkét fájl, és ez már elég gázos. A gépem vírusmentes, és nem tudom, az ssh-kliens (WinSCP) feltörhető-e, hogyan kell ilyen jogosultságot lopni.

Ha ez esetleg segít még tippelni, ne kíméljetek.

 

Üdv:

Balázs

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Laszlo Baranyai]

Udv!

> Érdekes módon a korábbi behatolásoknál az érintett fájlok ownere www-data-ra
> módosult, ami elvileg a PHP-t (is) jelenti, vagyis az átírást esetleg egy
> php szkript hajtotta végre.

Ha XSS-re gyanakszol, akkor nezd meg a site access logjat. A fajlok
modositasanak
idejeben ott kell legyen az akcio. Ha a PHP kod kozismertebb engine-t hasznal,
pl. blog/forum motor, ez eselyes.

> A legutolsó alkalommal viszont maradt az én "tulajdonomban" mindkét fájl, és ez
> már elég gázos.

Gondolom neztetek, de nincs esetleg rootkit a szerveren?
Userek/thread-ek rendben?

Udv.: Laci

--
Laszlo Baranyai <laszlo.baranyai@...>
Corvinus University of Budapest
--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[dragon-8]

> Ami azért jo mert a usert idegesíti a kedves hacker meg ha ügyes akkor
> lesniffeli a kapcsolatot és a küldött csomagokból ugyanúgy kiszedi az
> ftp jelszót, ami plain/text módon utazik a csomagban... En legalabbis
> meg igy emlekszem... csere scp-re az sokat javít a biztonságon, meg egy
> jó vírusirtó, mert ahova egy Total commander jelszofájlt ellopó malware
> bejut, oda bejut akármi más is...
>
> Pifta
>  

Pontosan. Egyik ügyfelünknél ez történt, tehát nem közvetlen a TC-t
törte, hanem sniffelte a hálót a kis trójai.

dragon
--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Balázs Házi]

Sziasztok!

 

Mivel a téma továbbra is a biztonság lenne, csak egy másik versenyzővel, ezt a szálat folytatnám, ha nem gond. A múltkori XSS-kérdésemre adott minden válasz azt erősítette meg, hogy nem a program a gond, XSS-típusú behatolással nem lehet azt okozni, amit az első levélben részletesen megírtam.

A másik tippünk, bár gyanítom, ez sem túl esélyes, az sql-injection. Elvileg (és gyakorlatilag) minden DB-be írás előtt szűrjük és konvertáljuk az adatokat, de talán mégis van valahol egy elfelejtett lyuk, nem tudom. A kérdés: ennek a sérülékenységnek a kihasználásával van-e elvi és gyakorlati lehetősége annak, hogy valaki, akár php szkript futtatásával, akár máshogy, átírjon egy fájlt a docroot-ban, beleírva egy kártékony JS-kódot (ld. az első levelemet a szálon)?

(Elvileg tudom, hogyan működik ez a hiba, de nem vagyok rendszergazda, ezért kérek ötleteket, tippeket, akár valószínűtleneket is.)

 

Üdv:

Balázs

2009/10/2 Balázs Házi <hbalazs@...>

Sziasztok,

 

köszi mindenkinek a választ. Bocsánat, hogy csak burkoltan írtam, hogy minden egyéb lehetőséget kizártunk, az első volt az FTP lecserélése SSH-ra, és jelenleg egy kezem is sok megszámolni, hány gépről férünk hozzá a szerverhez (a rendszergazdát leszámítva).

Ám ezután is két behatolásunk volt, és az egyik konkrétan egy .js állományt írt át, de épp úgy, mint amikor az index.php-t, vagyis egyszerűen csak másik, rejtettebb helyet talált a kódjának. A legutolsó pedig simán egy redirect sorra cserélte az index.php-t és a .htaccess-t is egyetlen sorosra írta át.

Érdekes módon a korábbi behatolásoknál az érintett fájlok ownere www-data-ra módosult, ami elvileg a PHP-t (is) jelenti, vagyis az átírást esetleg egy php szkript hajtotta végre. A legutolsó alkalommal viszont maradt az én "tulajdonomban" mindkét fájl, és ez már elég gázos. A gépem vírusmentes, és nem tudom, az ssh-kliens (WinSCP) feltörhető-e, hogyan kell ilyen jogosultságot lopni.

Ha ez esetleg segít még tippelni, ne kíméljetek.

 

Üdv:

Balázs

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Forgó Zoltán-2]

Üdv!

2009/10/5 Balázs Házi <hbalazs@...>

Sziasztok!

 

A másik tippünk, bár gyanítom, ez sem túl esélyes, az sql-injection. Elvileg (és gyakorlatilag) minden DB-be írás előtt szűrjük és konvertáljuk az adatokat, de talán mégis van valahol egy elfelejtett lyuk, nem tudom. 

 

 Amennyiben nem tudod garantálni, hogy DB-ből olvasáskor nem fordulhat elő user input a lekérdezés részeként, és nem szűröd, akkor minden egyes ilyen előfordulás egy elfelejtett lyuk. Így az elvi lehetősége adott, hogy egy ilyen inputból származó kód kiértékelődjön. Egy kevésbé jól konfigurált webserver esetén így máris a gyakorlati lehetőség is adott.

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Illó Gábor]

2009/10/5 Balázs Házi <hbalazs@...>:

> Sziasztok!
>
> Mivel a téma továbbra is a biztonság lenne, csak egy másik versenyzővel, ezt
> a szálat folytatnám, ha nem gond. A múltkori XSS-kérdésemre adott minden
> válasz azt erősítette meg, hogy nem a program a gond, XSS-típusú
> behatolással nem lehet azt okozni, amit az első levélben részletesen
> megírtam.
> A másik tippünk, bár gyanítom, ez sem túl esélyes, az sql-injection. Elvileg
> (és gyakorlatilag) minden DB-be írás előtt szűrjük és konvertáljuk az
> adatokat, de talán mégis van valahol egy elfelejtett lyuk, nem tudom. A
> kérdés: ennek a sérülékenységnek a kihasználásával van-e elvi és gyakorlati
> lehetősége annak, hogy valaki, akár php szkript futtatásával, akár máshogy,
> átírjon egy fájlt a docroot-ban, beleírva egy kártékony JS-kódot (ld. az
> első levelemet a szálon)?
> (Elvileg tudom, hogyan működik ez a hiba, de nem vagyok rendszergazda, ezért
> kérek ötleteket, tippeket, akár valószínűtleneket is.)
>
> Üdv:
> Balázs

Üdv. Az is elképzelhető, hogy nem is a te lapod okozza ezt, hanem egy
másik feltört oldal ugyan azon a szerveren. Én kipróbálnám más
szerveren is, ha nincs több ötlet. SQL inject az olyan dolog, hogy
keresni kell a rést, és minden lapnál máshol lehet, ha egyáltalán van.
Ezek az iframes meg káros kódot letöltős javascriptes dolgok inkább
lopott ftp jelszónál jellemzőek. Könnyen kideríthető hogy ftp-e a
ludas. Ha nálam lenne elhelyezve a lapod, én megnézném az ftp logot
neked, de mivel nem így van, kérd meg a szolgáltatót hogy nézzen bele
abba a logba. Access log is hasonlóan hasznos információkat adhat.
--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Fajth István-2]

Illó Gábor írta:

2009/10/5 Balázs Házi hbalazs@...:
  

Sziasztok!

Mivel a téma továbbra is a biztonság lenne, csak egy másik versenyzővel, ezt
a szálat folytatnám, ha nem gond. A múltkori XSS-kérdésemre adott minden
válasz azt erősítette meg, hogy nem a program a gond, XSS-típusú
behatolással nem lehet azt okozni, amit az első levélben részletesen
megírtam.
A másik tippünk, bár gyanítom, ez sem túl esélyes, az sql-injection. Elvileg
(és gyakorlatilag) minden DB-be írás előtt szűrjük és konvertáljuk az
adatokat, de talán mégis van valahol egy elfelejtett lyuk, nem tudom. A
kérdés: ennek a sérülékenységnek a kihasználásával van-e elvi és gyakorlati
lehetősége annak, hogy valaki, akár php szkript futtatásával, akár máshogy,
átírjon egy fájlt a docroot-ban, beleírva egy kártékony JS-kódot (ld. az
első levelemet a szálon)?
(Elvileg tudom, hogyan működik ez a hiba, de nem vagyok rendszergazda, ezért
kérek ötleteket, tippeket, akár valószínűtleneket is.)

Üdv:
Balázs
    

Üdv. Az is elképzelhető, hogy nem is a te lapod okozza ezt, hanem egy
másik feltört oldal ugyan azon a szerveren. Én kipróbálnám más
szerveren is, ha nincs több ötlet. SQL inject az olyan dolog, hogy
keresni kell a rést, és minden lapnál máshol lehet, ha egyáltalán van.
Ezek az iframes meg káros kódot letöltős javascriptes dolgok inkább
lopott ftp jelszónál jellemzőek. Könnyen kideríthető hogy ftp-e a
ludas. Ha nálam lenne elhelyezve a lapod, én megnézném az ftp logot
neked, de mivel nem így van, kérd meg a szolgáltatót hogy nézzen bele
abba a logba. Access log is hasonlóan hasznos információkat adhat.
  

Ezen felbuzdulva egy rovid esettanulmany, ami velunk esett meg, mi mondjuk rendszergazdai joggal is birtunk a szerveren...

Volt egy sebezhetoseg a phpadsnew xmlrpc kodjaban, valamelyik verzioban amin keresztul be lehetett jonni a szerverre, es meg programokat is tudtak futtatni a barataink. A program amit rendszeresen futtattak az egy ircbot telepito, ami letoltotte a cuccot, es elinditotta... Aztan tokeletesitettek rajta, mert mar forraskodot toltott le, es leforditotta magat, majd ugy kezdett futni. Mi ugy oldottuk meg a lenyomozast, hogy a wget-et amit hasznalt a letolteshez, atneveztuk wgetwget-re, es egy kis shellscriptet raktunk a helyere, ami logolta az osszes inditasi parameteret, az environmentet, meg amit lehetett, es kilepett. Ekkor lett meg a ludas.

Ebbol kb annyit lehet hasznalni, hogy esetleg valami mast tesztek az ftp portra ha van hozza jogosultsagotok, akar egy sajat kis daemon-t nem olyan bonyi osszedobni ilyesmit C-ben aztan logoljatok a kereseket, akinek meg alapbol joga lenne belepni a szerverre, azt megkeritek hogy a 2121-es portot hasznalja mondjuk. Ha erre nincs lehetosegetek, akkor meg valoban a logok segithetnek a legtobbet...

Pifta

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Balázs Házi]

Ezt nagyon köszi, phpadsnew (egy ideje OpenAds) van telepítve, és állandóan javítgatják benne a réseket. Én az ilyet magamra veszem, és a saját kódjainkat buzerálom, de lehet, hogy esetleg ott van lyuk, ellenőrizzük.

 

A szerveren valóban több egyéb oldal is üzemel, de remélem, azért ennyire nem gázos a helyzet. :)

 

DB-ből olvasáskor, ha user input is megy a query-be, ugyanúgy szűrünk: számnál is_numeric, majd abs() (ált. egy ID-t várunk, ami nem szokott negatív lenni), text mezős szövegnél htmlspecialchars(), textarea-nál str_replace(), hmlspecialchars(), addslashes() megfelelő kombinációi, ahogy szükséges. Ezek soha, sehol nem maradtak még el, még a védettebb adminoldalakon sem, ahol tudható, kik dolgoznak, és saját érdekük is a biztonság. De ha van egyéb tippetek, ami jól használható, nyugodtan tegyétek hozzá. (Egy kérésem van: ne a manual általam is ismert függvényeinek neveit, hanem hogy mit és miért és hogyan és mire jó, amire a többi nem, tehát saját gyakorlati tapasztalatokat látnék szívesen, ha lehet.)

 

Köszi a válaszokat, üdv:

Balázs

2009/10/6 Fajth István <pifta@...>

Illó Gábor írta:

2009/10/5 Balázs Házi hbalazs@...:
  

Sziasztok!

Mivel a téma továbbra is a biztonság lenne, csak egy másik versenyzővel, ezt
a szálat folytatnám, ha nem gond. A múltkori XSS-kérdésemre adott minden
válasz azt erősítette meg, hogy nem a program a gond, XSS-típusú
behatolással nem lehet azt okozni, amit az első levélben részletesen
megírtam.
A másik tippünk, bár gyanítom, ez sem túl esélyes, az sql-injection. Elvileg
(és gyakorlatilag) minden DB-be írás előtt szűrjük és konvertáljuk az
adatokat, de talán mégis van valahol egy elfelejtett lyuk, nem tudom. A
kérdés: ennek a sérülékenységnek a kihasználásával van-e elvi és gyakorlati
lehetősége annak, hogy valaki, akár php szkript futtatásával, akár máshogy,
átírjon egy fájlt a docroot-ban, beleírva egy kártékony JS-kódot (ld. az
első levelemet a szálon)?
(Elvileg tudom, hogyan működik ez a hiba, de nem vagyok rendszergazda, ezért
kérek ötleteket, tippeket, akár valószínűtleneket is.)

Üdv:
Balázs
    

Üdv. Az is elképzelhető, hogy nem is a te lapod okozza ezt, hanem egy
másik feltört oldal ugyan azon a szerveren. Én kipróbálnám más
szerveren is, ha nincs több ötlet. SQL inject az olyan dolog, hogy
keresni kell a rést, és minden lapnál máshol lehet, ha egyáltalán van.
Ezek az iframes meg káros kódot letöltős javascriptes dolgok inkább
lopott ftp jelszónál jellemzőek. Könnyen kideríthető hogy ftp-e a
ludas. Ha nálam lenne elhelyezve a lapod, én megnézném az ftp logot
neked, de mivel nem így van, kérd meg a szolgáltatót hogy nézzen bele
abba a logba. Access log is hasonlóan hasznos információkat adhat.
  

Ezen felbuzdulva egy rovid esettanulmany, ami velunk esett meg, mi mondjuk rendszergazdai joggal is birtunk a szerveren...

Volt egy sebezhetoseg a phpadsnew xmlrpc kodjaban, valamelyik verzioban amin keresztul be lehetett jonni a szerverre, es meg programokat is tudtak futtatni a barataink. A program amit rendszeresen futtattak az egy ircbot telepito, ami letoltotte a cuccot, es elinditotta... Aztan tokeletesitettek rajta, mert mar forraskodot toltott le, es leforditotta magat, majd ugy kezdett futni. Mi ugy oldottuk meg a lenyomozast, hogy a wget-et amit hasznalt a letolteshez, atneveztuk wgetwget-re, es egy kis shellscriptet raktunk a helyere, ami logolta az osszes inditasi parameteret, az environmentet, meg amit lehetett, es kilepett. Ekkor lett meg a ludas.

Ebbol kb annyit lehet hasznalni, hogy esetleg valami mast tesztek az ftp portra ha van hozza jogosultsagotok, akar egy sajat kis daemon-t nem olyan bonyi osszedobni ilyesmit C-ben aztan logoljatok a kereseket, akinek meg alapbol joga lenne belepni a szerverre, azt megkeritek hogy a 2121-es portot hasznalja mondjuk. Ha erre nincs lehetosegetek, akkor meg valoban a logok segithetnek a legtobbet...

Pifta

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Balázs Házi]

Bocs, még egy utolsó levél a tárgyban, még egyszer megköszönve a segítséget mindenkinek.

Találtam egy programot, Acunetix Web Vulnerability Scanner a neve, és épp erre jó, a szokásos Win környezetben futva távoli webszervereken lévő site-ok ellenőrzését végzi egész alaposan, legalábbis a manual szerint. Hátha még jól jön valakinek.

 

Üdv:

Balázs

2009/10/6 Balázs Házi <hbalazs@...>

Ezt nagyon köszi, phpadsnew (egy ideje OpenAds) van telepítve, és állandóan javítgatják benne a réseket. Én az ilyet magamra veszem, és a saját kódjainkat buzerálom, de lehet, hogy esetleg ott van lyuk, ellenőrizzük.

 

A szerveren valóban több egyéb oldal is üzemel, de remélem, azért ennyire nem gázos a helyzet. :)

 

DB-ből olvasáskor, ha user input is megy a query-be, ugyanúgy szűrünk: számnál is_numeric, majd abs() (ált. egy ID-t várunk, ami nem szokott negatív lenni), text mezős szövegnél htmlspecialchars(), textarea-nál str_replace(), hmlspecialchars(), addslashes() megfelelő kombinációi, ahogy szükséges. Ezek soha, sehol nem maradtak még el, még a védettebb adminoldalakon sem, ahol tudható, kik dolgoznak, és saját érdekük is a biztonság. De ha van egyéb tippetek, ami jól használható, nyugodtan tegyétek hozzá. (Egy kérésem van: ne a manual általam is ismert függvényeinek neveit, hanem hogy mit és miért és hogyan és mire jó, amire a többi nem, tehát saját gyakorlati tapasztalatokat látnék szívesen, ha lehet.)

 

Köszi a válaszokat, üdv:

Balázs

2009/10/6 Fajth István <pifta@...>

Illó Gábor írta:

2009/10/5 Balázs Házi hbalazs@...:
  

Sziasztok!

Mivel a téma továbbra is a biztonság lenne, csak egy másik versenyzővel, ezt
a szálat folytatnám, ha nem gond. A múltkori XSS-kérdésemre adott minden
válasz azt erősítette meg, hogy nem a program a gond, XSS-típusú
behatolással nem lehet azt okozni, amit az első levélben részletesen
megírtam.
A másik tippünk, bár gyanítom, ez sem túl esélyes, az sql-injection. Elvileg
(és gyakorlatilag) minden DB-be írás előtt szűrjük és konvertáljuk az
adatokat, de talán mégis van valahol egy elfelejtett lyuk, nem tudom. A
kérdés: ennek a sérülékenységnek a kihasználásával van-e elvi és gyakorlati
lehetősége annak, hogy valaki, akár php szkript futtatásával, akár máshogy,
átírjon egy fájlt a docroot-ban, beleírva egy kártékony JS-kódot (ld. az
első levelemet a szálon)?
(Elvileg tudom, hogyan működik ez a hiba, de nem vagyok rendszergazda, ezért
kérek ötleteket, tippeket, akár valószínűtleneket is.)

Üdv:
Balázs
    

Üdv. Az is elképzelhető, hogy nem is a te lapod okozza ezt, hanem egy
másik feltört oldal ugyan azon a szerveren. Én kipróbálnám más
szerveren is, ha nincs több ötlet. SQL inject az olyan dolog, hogy
keresni kell a rést, és minden lapnál máshol lehet, ha egyáltalán van.
Ezek az iframes meg káros kódot letöltős javascriptes dolgok inkább
lopott ftp jelszónál jellemzőek. Könnyen kideríthető hogy ftp-e a
ludas. Ha nálam lenne elhelyezve a lapod, én megnézném az ftp logot
neked, de mivel nem így van, kérd meg a szolgáltatót hogy nézzen bele
abba a logba. Access log is hasonlóan hasznos információkat adhat.
  

Ezen felbuzdulva egy rovid esettanulmany, ami velunk esett meg, mi mondjuk rendszergazdai joggal is birtunk a szerveren...

Volt egy sebezhetoseg a phpadsnew xmlrpc kodjaban, valamelyik verzioban amin keresztul be lehetett jonni a szerverre, es meg programokat is tudtak futtatni a barataink. A program amit rendszeresen futtattak az egy ircbot telepito, ami letoltotte a cuccot, es elinditotta... Aztan tokeletesitettek rajta, mert mar forraskodot toltott le, es leforditotta magat, majd ugy kezdett futni. Mi ugy oldottuk meg a lenyomozast, hogy a wget-et amit hasznalt a letolteshez, atneveztuk wgetwget-re, es egy kis shellscriptet raktunk a helyere, ami logolta az osszes inditasi parameteret, az environmentet, meg amit lehetett, es kilepett. Ekkor lett meg a ludas.

Ebbol kb annyit lehet hasznalni, hogy esetleg valami mast tesztek az ftp portra ha van hozza jogosultsagotok, akar egy sajat kis daemon-t nem olyan bonyi osszedobni ilyesmit C-ben aztan logoljatok a kereseket, akinek meg alapbol joga lenne belepni a szerverre, azt megkeritek hogy a 2121-es portot hasznalja mondjuk. Ha erre nincs lehetosegetek, akkor meg valoban a logok segithetnek a legtobbet...

Pifta

--

Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak

[Heilig Szabolcs]

Helló!

Balázs Házi wrote:
> Bocs, még egy utolsó levél a tárgyban, még egyszer megköszönve a
> segítséget mindenkinek.
> Találtam egy programot, Acunetix Web Vulnerability Scanner a neve, és
> épp erre jó, a szokásos Win környezetben futva távoli webszervereken
> lévő site-ok ellenőrzését végzi egész alaposan, legalábbis a manual
> szerint. Hátha még jól jön valakinek.

Az ilyenekkel csak óvatosan! A fejlesztői verzióra rá lehet engedni,
de éles rendszeren nem ajánlott ezeket használni, mert
a próbálkozásaival alaposan teli tudja szemetelni az adatbázist.

--
Heilig Szabolcs
cece@... - http://devolver.hu (SVN, Trac hoszting)

--
Weblabor hírlevél: http://weblabor.hu/hirlevel
--
wl-phplista (wl-phplista@...) levelezőlista
https://bors.hoszting.com/mailman/listinfo/wl-phplista
Keresheto archivum: http://weblabor.hu/kereses
--
etikett: http://weblabor.hu/levlistak/illemszabaly
offlista: https://weblabor.hu/levlistak