Помогите срочно.Через что из этого могут ломать ?

SodaM

SodaM

Создатель
Регистрация
6 Мар 2015
Сообщения
25
Реакции
0
X2kufY6.png


Я в php не очень разбираюсь может вы поймёте
Но через какой то из этих скриптов ломают мой сервер не могу понять через какой.
Может вы поймёте.

htdocs.zip://htdocs/changepass/changepass.view.php28193{ echo $_POST['username']2htdocs.zip://htdocs/changepass/changepass.view.php31224{ echo $_POST['password']3htdocs.zip://htdocs/changepass/changepass.view.php34250..." value="<?php if(isset($_POST['newpassword'])) { echo $_POST['newpassword']4htdocs.zip://htdocs/changepass/changepass.view.php37284.." value="<?php if(isset($_POST['newpassword2'])) { echo $_POST['newpassword2']5htdocs.zip://htdocs/diuoasasdyhnu/diasoduiasd.php9673name'])) { if(copy($_FILES["filename"]["tmp_name"] ,"".$_FILES["filename"]["name"] )) echo("...")6htdocs.zip://htdocs/log.php28443$UserID = trim($_POST['login'] )7htdocs.zip://htdocs/log.php296$Type = trim($_POST['type'] )8htdocs.zip://htdocs/rank/pvp.php10292) && !empty($_GET['pvp']) && preg_match('#^[0-9]*$ #', $_GET['pvp'] )){9htdocs.zip://htdocs/rank/pvp.php102119$pvp = $_GET['pvp']10htdocs.zip://htdocs/rank/pvp.php114101&& !empty($_GET['page']) && preg_match('#^[0-9]*$ #', $_GET['page'] )){11htdocs.zip://htdocs/rank/pvp.php114131$page = $_GET['page']12htdocs.zip://htdocs/Register/changepass.php29181wer($recaptcha_private_key,$_SERVER['REMOTE_ADDR'] ,$_POST['recaptcha_challenge_field'] ,$_POST['recaptcha_response_field'])13htdocs.zip://htdocs/Register/changepass.php29217'REMOTE_ADDR'],$_POST['recaptcha_challenge_field'] ,$_POST['recaptcha_response_field'] )14htdocs.zip://htdocs/Register/changepass.view.php22112ername" value="<?php if(isset($_POST['username'])) { echo $_POST['username']15htdocs.zip://htdocs/Register/changepass.view.php25126ssword" value="<?php if(isset($_POST['password'])) { echo $_POST['password']16htdocs.zip://htdocs/Register/changepass.view.php28128ord" value="<?php if(isset($_POST['newpassword'])) { echo $_POST['newpassword']17htdocs.zip://htdocs/Register/changepass.view.php31141rd" value="<?php if(isset($_POST['newpassword2'])) { echo $_POST['newpassword2']18htdocs.zip://htdocs/Register/register.view.php28193{ echo $_POST['username']19htdocs.zip://htdocs/Register/register.view.php31223{ echo $_POST['password']20htdocs.zip://htdocs/Register/register.view.php34278я..." value="<?php if(isset($_POST['password2'])) { echo $_POST['password2']
 
пятый пункт - заливка файла. могут залить исполняемый файл, в том числе под видом картинки
остальные пункты - XSS. надо удалить "лишнее". например, при выводе на экран - htmlspecialchars(strip_tags($_POST['username'])) вместо голого $_POST['username']. Это могут использовать для воровства доступа к админке.
Судя по скриптам, их качество оставляет желать лучшего.
Кроме того, могут один раз взломать, а позже лазить снова через спрятанный шелл
 
Через пятый могут, но нужно видеть весь код. Так не понятно.

Хотя согласен, от этого скрипта лучше избавиться в принципе.
 
Увидел картинку и задаю вопрос.
Что за скрипт который выводит этот результат?
X2kufY6.png

И где этот скрипт можно найти?
 
Всем привет!
Года 3 назад общался с одним парнем в аське и он в двух словах рассказал о том, как сайты ломает. Например, надо взломать сайт, он ищет еще сайты на данном хостинге, заливает на один из них файл, допустим под видом картинки, и после этого имеет доступ ко всем сайтам на этом хостинге, в том числе и к тому, который ему был нужен изначально.
Это правда? И если да, то как эта уязвимость называется? На VPS она возможна?
Спасибо!
 
На плохо настроенном можно все.
0. Запрещаем загрузку файлов кроме картинок/видео/etc. Для картинок запрещаем выполнение.
Далее если таки ломанули:
1. Для просмотра ссылки Войди или Зарегистрируйся отрубает доступ к другим каталогам, т.е. если в нем /var/data/mysite.com, то "из него не выйти"
2. Для просмотра ссылки Войди или Зарегистрируйся отрубает возможность писать не в свои каталоги а) если на каждого клиента заведен свой пользователь (так и есть на шареде, на вдс - самостоятельно разруливать), то взломав одного пользователя, к другим не сунешься. б) Пусть PHP будет иметь доступ на запись только в images/, например, остальное - только чтение. Тогда прочесть конфиги и прочее можно, но кроме картинок изменить/удалить ничего нельзя
3. Для просмотра ссылки Войди или Зарегистрируйся - более расширенный способ ограничений, чем атрибуты.

Конкретно про запись картинки написано Для просмотра ссылки Войди или Зарегистрируйся
 
Black Hat написал(а):
На плохо настроенном можно все.
0. Запрещаем загрузку файлов кроме картинок/видео/etc. Для картинок запрещаем выполнение.
Далее если таки ломанули:
1. Для просмотра ссылки Войди или Зарегистрируйся отрубает доступ к другим каталогам, т.е. если в нем /var/data/mysite.com, то "из него не выйти"
2. Для просмотра ссылки Войди или Зарегистрируйся отрубает возможность писать не в свои каталоги а) если на каждого клиента заведен свой пользователь (так и есть на шареде, на вдс - самостоятельно разруливать), то взломав одного пользователя, к другим не сунешься. б) Пусть PHP будет иметь доступ на запись только в images/, например, остальное - только чтение. Тогда прочесть конфиги и прочее можно, но кроме картинок изменить/удалить ничего нельзя
3. Для просмотра ссылки Войди или Зарегистрируйся - более расширенный способ ограничений, чем атрибуты.

Конкретно про запись картинки написано Для просмотра ссылки Войди или Зарегистрируйся
Нажмите для раскрытия...
Спасибо! Пока правда почти ничего не понял, надо повышать компетентность)
Есть в двух словах - VPS будет безопаснее, чем шаред? при условии, что админ знает свое дело.
 
Тут вопрос скорее какой админ круче - от шареда или "свой" для впс.
На шареде обычно все уже обкатано на куче серверов. Кроме особенно унылых хостингов это так. Например, на одном сибирском хостинге был вообще "вах", проблемы с мылом, проблемы с кешем APC, еще что-то. Это не относится к безопасности, но о знаниях админов говорит.
С другой стороны, на впс-площадке другого админа Для просмотра ссылки Войди или Зарегистрируйся вообще позволял залезть к "другим". Так что админ админу рознь.
Чтобы ясно представить - лучше после поднятия сайта провести аудит безопасности сторонним человеком/организации, но выйдет в копеечку.
 
Войдите или зарегистрируйтесь для ответа.
Назад
Сверху