NPDS : Gestion de contenu et de communauté

bonjour

j'ai plusieurs potes hackers a ki g demandé de faire des tests sur le portail et celui ci s'est avéré plein de trous de sécurité.

on commence les détails :

- nimporte qui, par exemple peux écrire des messages sur le chat box avec nimporte quel pseudo (dans ce cas précis il a utilisé celui de l'admin)
- nimporte qui peut connaitre le chemin ou est le portail sur le disque dur du server en mettant des ' dans les liens par exemple script?action='principal
-> Warning: mysql_fetch_row(): supplied argument is not a valid MySQL result resource in /usr/local/www/data.users/monsiteee/www/sdv.php on line 92
- nimporte qui, peut rajouter des news et plein dautre trucs

bon bref je vous ai cité que ca mais yen a plein dautre par exemple il a modifier mon fichier config.php sans avoir AUCUN mot de passe (admin, mysql, ftp) c'est bien que c'est une défaillance du portail.

plusieurs de ces actions ont été faites grace à la faille d'include, en effet il a inclut un fichier php qui été sur son site sur free.fr à un fichier de mon portail, et cela ajouter des données dans la base mysql.

Je te remercie de me répondre le + rapidement et de faire les patchs assez rapidement ou alors de sortir une nouvelle version completement sécurisée parce que de ce que j'ai vu ... c'est vraiment fiasco de failles (j'en veut pas a ton travail, je dit ca dans lintention de sécuriser le portail au plus vite pour que tout le monde soit - inquiet)

Aller a++ (et au passage tu pourrai détailler avec exactititude les CHMOD a appliquer sur tel ou tel fichier ? je pense que ce serait pas mal)

[ Message édité par : clembobo : 12-06-2002 14:43 ]

je pense plutot à un pb de configuration du serveur...

Je propose à tes potes d'essayer de modifier le config.php du site atoum-systems.fr
On en reparle ensuite.

@ +


[ Message édité par : maitreya : 12-06-2002 15:03 ]

bon ils ont pas le temps ce que je pe te dire c que le bug marche aussi chez toi
- Warning: Supplied argument is not a valid MySQL result resource in /data/web/Xa/Xt/Xo/atoum-systems.fr/public/www/portail/sdv.php on line 92

pour le reste je pense que le faille d'include est à reparer tres vite.

merci a++

nan moi ce que je veux c'est que tu modifie mon config.php et que tu me tienne au courant.
L'adresse exacte sur le serveur tu l'aura de toute facon quel que soit ce que tu mets dessus...

si tu ve dire qu'il nexiste pas de config.php chez toi et que tu la rennomé sous un autre nom bah je l'avais fait aussi et ca les a pas empeche de savoir comment il sappelle.

bon en fait ct pas un test quand il la fé sur mon site c parce ke je l'avait bien enervé :) je métais foutu ouvertement de sa gueule alros que je savais quil est très bon en hack. bref il veut pas pirater ton site ché pa si tu le connais : cgi[bin] de son ancien pseudo

mais bon je peut te dire que c'est pas une mauvaise config du serveur mais bel est bien un trou dans npds
bon en fait il s'est servi des messages privé pour inclure son fichier (à noter qu'il ma envoyé un message privé avec un pseudo alors kil n'a jamais été enregistré) encore un bug.

bon, developpeur je pense que la avec ces infos tu va pouvoir reparer tout ca et bon boulot a+++

[ Message édité par : clembobo : 12-06-2002 15:38 ]

nan y'a bien un config.php

à vous de le modifier...

je ve pas vous dire comment en plus !!!!

bouououou :-( on veut pas me pirater ....

song je suis un mal AIIIIMEEEE.... /song

[ Message édité par : maitreya : 12-06-2002 15:37 ]

Bonjour,

1 - Pour ce qui est de la découverte du chemin ou est installé NPDS (ou n'importe quel script Php) est facile effectivement. supprimer ce genre de chose c'est intercepter TOUTES les erreurs potentielles et là c'est un boulot titanesque ! et qui n'as pas grande utilité car le moindre oubli ou le moindre rajout d'module, theme devient un casse-tête.

2 - si le portail est configuré pour que les anonymes puissent poster des news, des commentaires, des posts dans les forum, des chats .... effectivement n'importe qui peut faire n'importe quoi.

3 - pour ce qui est de l'include d'un fichier via les messages privés => je regarde

4 - je reste à l'écoute de toutes les remarques sur la sécurité de NPDS et si ton copain veux me joindre par email : developpeur@npds.org

A+

3 -

Pour les Messages à un membres : le Patch 2 sortira avec une modification sur cette fonction n'autorisant plus l'utilisation de php, javascript dans les MM ...

C'est dommage (car cela permettais de faire pleins de choses) mais c'est comme cela ...

en fait non le portail été configuré de facon a valider les news par l'admin avant publication mais il l'es as inséré avec linclude d'un fichier sur free qui contenu comme commande d'ajouter des donnees dans la base

toute son action a été basée sur le include c'est pour ca que j'insistec le défaut majeur.

merci a toi a++

La commande include est utilisée 250 fois dans NPDS (2500 fois dans PhpNuke et PostN). Mais je ne vois pas de quel include tu parle.

L'include qui est fait dans module.php, dans le gestionnaire de bloc, dans les bannières pub ... ????

Sans cette précision je ne comprends pas !

nan je pense à la méthode du cross site scripting

je t'envoie un im complet dessus ;-)

je pense qu'elle se situe en effet sur l'instant member message

je vous invite à mettre en commentaire la section
// instant_members_message();

dans le header.php de votre theme en attendant la P2

il faudra vérifier les autre fichiers tels que replypmsg et inclure des ereg ou desactiver totalement le html

C'est hyper lourd donc ca fait une raison de plus pour passer au mode session :-p

[ Message édité par : maitreya : 12-06-2002 19:18 ]

dsl ce connard m'a dit juste qu'il s'était servi de include() mais je sais pas ou :(
c un vrai enculer depuis hier soir il arrete pas de pirater mon site :-| yaurai pas qque chose qui permettrai de bloker l'ip sur npds car tout ce quil fait est loggué sur le server

merci a++

change tes password et vire tous tes cookies en attendant qu'il se calme. ou alors utilise lynx sous le pingouin ;-)

t'as quoi comme serveur web ?
et si t'as assez de bande passante, balance lui une attaque DoS ca va le calmer ...




[ Message édité par : maitreya : 12-06-2002 19:32 ]

apache sous freebsd

t'as un shell dessus ?
sinon en php tu as des scripts de ce style :

if (getenv("HTTP_X_FORWARDED_FOR")){
$ip=getenv("HTTP_X_FORWARDED_FOR");
} else {
$ip=getenv("REMOTE_ADDR");
}


$blockedipfile = file("logs/ip.txt");
foreach($blockedipfile as $ipaddr){
$ipaddr = ereg_replace("\n","",$ipaddr);
if($ip == $ipaddr){
blocked();
}
}

...

function blocked() {
echo "<center><font face=\"Comic Sans MS,Arial,Helvetica\">Va te faire mettre connard....</font></center><p>\n";
exit;
}



dans toon fichier ip.txt tu mets l'ip du gars

@+



[ Message édité par : maitreya : 12-06-2002 19:45 ]

non g pas de shell




Serveur :
Nos serveurs fonctionnent sous UNIX, et sont largement dimensionnés pour correspondre aux besoins de nos clients et éviter ainsi toute surcharge ou dégradation de qualité.
Les langages PHP, CGI (Perl) sont supportés et nos bases de données MySQL sonts accessibles via phpMyAdmin.
Tous nos serveurs sont protégés par firewall matériel sous UNIX, ainsi tous les transits de données sont autorisés et contrôlés, la sécurité en est ainsi fortement renforcée.

regarde le message précédent (1ere page) je pense que tu y trouvera ton bonheur (petit script qui permet de bloquer l'ip d'un mec ou d'un référant) ;-)

@ +

[ Message édité par : maitreya : 12-06-2002 19:51 ]

merci

ca marche bien dis donc ya pas eu de tentative depuis 10 min !!!!!!!

content pour toi ... ;-)

@ +