Сайт сообщества | Клуб пользователей | О проекте

Имя
Пароль
ПравилаРегистрацияСправка
Сообщения за деньПоиск

Вернуться   Клуб пользователей портальной системы RUNCMS > Портал > Безопасность

Ответ
 
Опции темы Опции просмотра
LARK вне форума LARK
[исход]

Аватар для LARK

| Цитировать Старый #1 06-21-2012, 19:03

В общем, обнаружилась тут, милостивые государи, просто шикарная дырка в любимой нами зомби-CMS.

Уязвимость заключается в том, что при некоторых обстоятельствах (а по нынешним временам наиболее частых), встроенный фильтр от SQL инъекций попросту не действует. Т.е. он конечно же фиксирует атаку и исправно все пишет в логи, но сама атака проходит на ура (при наличии уязвимой переменной).

Админ сайта удовлетворенно смотрит на сотни заблокированных атак, а хакер удовлетворенно "тырит" нужную информацию. Причем, когда админ пытается воспроизвести атаку и подставить SQL инъекцию в браузере, его благополучно система блокирует, и грубо обзывает хакером. Админ естественно ничего не понимает. В этом то и секрет.

В подробности вдаваться не буду, кто разбирается посмотрит код и поймет. Но прежде всего это касается Blind SQL injection. Естественно должна быть уязвимая для SQL инъекций переменная, в разных версиях RUNCMS их достаточно, особенно в нестандартных модулях (хотя наиболее защищенная - это RUNCMS 2.2.2).

В прикрепленном файле исправление для RUNCMS 2.2.2, но уязвимость касается всех без исключения версий, где имеется фильтр от SQL инъекций.

Всему некромантскому клубу, кто еще держит сайты на RUNCMS, настоятельно рекомендуем обновиться.

---

P.S. Т.е. после этого исправления, фильтр от SQL инъекций будет работать на все 100% и можете спать спокойно. Относительно спокойно.
Вложения
Тип файла: zip security_fix_runcms-b2.2.2_build_20120620.zip (9.5 Кбайт, 32 просмотров)

Последний раз редактировалось LARK, 06-21-2012 в 20:03


Правила нашего Форума :: О клубе пользователей RUNCMS :: Рекомендации по публикации сообщений :: Прежде чем задать вопрос воспользуйтесь Поиском
-------------------------------------------------------------------
Если что-то не работает, задавая вопрос, ! ОБЯЗАТЕЛЬНО ! пишите версию RUNCMS/модуля/PHP/MySQL и текст самой ошибки.
Посетить домашнюю страницу LARK
  Сообщения: 4,183 c 20.09.2003 | Репутация: 223
Usama вне форума Usama
Старший участник

Аватар для Usama

| Цитировать Старый #2 06-22-2012, 05:48

для 1.7 Rus тоже критично?


Творческая работа - это прекрасный, необычайно тяжелый и изумительно радостный труд.
Николай Островский
Посетить домашнюю страницу Usama
  Сообщения: 1,404 c 10.12.2003 | Репутация: 82
LARK вне форума LARK
[исход]

Аватар для LARK

| Цитировать Старый #3 06-22-2012, 07:32

Цитата:
Сообщение от Usama Посмотреть сообщение
для 1.7 Rus тоже критично?
да, тоже


Правила нашего Форума :: О клубе пользователей RUNCMS :: Рекомендации по публикации сообщений :: Прежде чем задать вопрос воспользуйтесь Поиском
-------------------------------------------------------------------
Если что-то не работает, задавая вопрос, ! ОБЯЗАТЕЛЬНО ! пишите версию RUNCMS/модуля/PHP/MySQL и текст самой ошибки.
Посетить домашнюю страницу LARK
  Сообщения: 4,183 c 20.09.2003 | Репутация: 223
pan вне форума pan
): ǝҺɐни dиw ɐн иd⊥оwɔ

Аватар для pan

| Цитировать Старый #4 06-22-2012, 09:33

Цитата:
Сообщение от LARK Посмотреть сообщение
Всему некромантскому клубу
Ну зачем ты так, вполне себе cms, иногда лучше чем другие


Напильник для RUNCMS
Строим помаленьку
Для гурманов
Мебель для дома
Посетить домашнюю страницу pan
  Сообщения: 4,777 c 15.03.2004 | Репутация: 121
pan вне форума pan
): ǝҺɐни dиw ɐн иd⊥оwɔ

Аватар для pan

| Цитировать Старый #5 06-22-2012, 10:07

Шепни кстати на ушко как все происходит?


Напильник для RUNCMS
Строим помаленьку
Для гурманов
Мебель для дома
Посетить домашнюю страницу pan
  Сообщения: 4,777 c 15.03.2004 | Репутация: 121
Юрий Пет вне форума Юрий Пет
Зам старшего участника

Аватар для Юрий Пет

| Цитировать Старый #6 06-22-2012, 10:34

А как на 1.7 это сделать, там же константы разные?


Портал - домашние животные
Фоны для сайта Территория вебграфики
Посетить домашнюю страницу Юрий Пет
  Сообщения: 457 c 28.12.2006 | Репутация: 17
LARK вне форума LARK
[исход]

Аватар для LARK

| Цитировать Старый #7 06-22-2012, 10:40

Цитата:
Сообщение от Юрий Пет Посмотреть сообщение
А как на 1.7 это сделать, там же константы разные?
позже выложу фикс и для других версий


Правила нашего Форума :: О клубе пользователей RUNCMS :: Рекомендации по публикации сообщений :: Прежде чем задать вопрос воспользуйтесь Поиском
-------------------------------------------------------------------
Если что-то не работает, задавая вопрос, ! ОБЯЗАТЕЛЬНО ! пишите версию RUNCMS/модуля/PHP/MySQL и текст самой ошибки.
Посетить домашнюю страницу LARK
  Сообщения: 4,183 c 20.09.2003 | Репутация: 223
Usama вне форума Usama
Старший участник

Аватар для Usama

| Цитировать Старый #8 06-22-2012, 17:41

Цитата:
Некрома́нтия (от греч. νεκρός — мёртвый и μαντεία — гадание) — способ прорицания, который заключается в вызывании духов мёртвых с различными целями: от духовной защиты до получения знаний, в том числе о будущем. В основе данной практики лежит убеждение в том, что мёртвые обладают особым могуществом и могут покровительствовать живым.
Хаха роня покровительствует остальными ЦМС ) посмотрел впринципе по галереи я уже выкладывал затычку. а вот в классе да в старых версиях нет еxit(); после редиректа.


Творческая работа - это прекрасный, необычайно тяжелый и изумительно радостный труд.
Николай Островский
Посетить домашнюю страницу Usama
  Сообщения: 1,404 c 10.12.2003 | Репутация: 82
LARK вне форума LARK
[исход]

Аватар для LARK

| Цитировать Старый #9 06-23-2012, 14:11

Мысли по дополнительной защите админки


Правила нашего Форума :: О клубе пользователей RUNCMS :: Рекомендации по публикации сообщений :: Прежде чем задать вопрос воспользуйтесь Поиском
-------------------------------------------------------------------
Если что-то не работает, задавая вопрос, ! ОБЯЗАТЕЛЬНО ! пишите версию RUNCMS/модуля/PHP/MySQL и текст самой ошибки.
Посетить домашнюю страницу LARK
  Сообщения: 4,183 c 20.09.2003 | Репутация: 223
Юрий Пет вне форума Юрий Пет
Зам старшего участника

Аватар для Юрий Пет

| Цитировать Старый #10 06-23-2012, 15:40

Только вчера залил заплатку, а сегодня яндекс пишет что сайт заражён вирусом Mal/ExpJS-AN, совпадение?


Портал - домашние животные
Фоны для сайта Территория вебграфики
Посетить домашнюю страницу Юрий Пет
  Сообщения: 457 c 28.12.2006 | Репутация: 17
Ответ

Опции темы
Опции просмотра

Ваши права в разделе
Вы не можете создавать новые темы
Вы не можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.
Быстрый переход


Рейтинг@Mail.ru Хостинг провайдер Majordomo. Powered by: vBulletin Version 3.0
Copyright ©2000-2019, Jelsoft Enterprises Ltd.
Все разделы прочитаны - Руководство форума - Архив - Вверх
Rambler's Top100
Output: 87.00 Kb. compressed to 79.54 Kb. by saving 7.46 Kb. (8.57%)
Page generated in 0.10631 seconds with 10 queries