UWAGA NA SYSTEMY WYMIANY!

[Daniel Kędzierski]

Odkryłem poważnego HACKA na systemy wymiany linków od bardzo niebezpiecznego zastosowania do poprostu podszycia sie pod system.

Ten post jest forma przestrogi a nie w celu edukacyjnym jak zhaczyć stronę.

Zagrożenie - można umieścić dowolny KOD HTML a czasami nawet KOD PHP jak w wypadku systemu LINKORN.pl co opisałem tutaj:

https://www.forum.szook.tv/viewtopic.php?t=54

Niebezpieczeństwo polega na tym że:

zakładajmy posiadamy konto u jakiegoś dostawcy na którym posiadają konta inni uzytkownicy systemów wymiany.

Dodanie domeny linkorn.pl linkor.pl i każdy który odwołuje sie po NAZWIE DOMENY spowoduje że wszystkie odwołania będą kierowane LOKALNIE

Ktoś dodający domene na kilku różnych serwerach gdzie posiadamy strony z systemami może w ten sposób wysłać co chce i jak chce.

Pisze o tym by to zabezpieczyć -! Bo gdybym nie napisał to nawet boty sprawdzające czy ktoś świetli linki i nie zmienił budowy skryptów PHP nie wykrywałby tego manewru.

Jakie to ma zagrożenia.

W wypadku LINKORN taka osoba może zrobić nam wrzutę kodu PHP wykonanego po naszej stronie

w wypadku innych - może umieścic np linki lub metarefresh.

Z uwagi iż nie byłem i nie jestem użytkownikiem żadnego z systemów męczcie adminów by zaradzili temu problemowi bo z Waszymi stronami może nie być dobrze.

Piszę bo chcę by ludzie sobie uświadomili że są ryzykowne pewne sprawy. Mogłbym nie napisać i mieć LINKI z każdego systemu w dowolnej ilości.

W 1 kolejność narazone są serwery ogólne gdzie przez Direct Admin i Cpanel można dodać samemu domenę do virtual host i dns

a następnie serwery w których dodają admini którzy nie koniecznie muszą wiedzieć czy mogę taką domenę dodać.

A nie sprawdzają każdej dodawanej bowiem delegacje w NASK można wyykonać po wpisaniu do DNS>

Choć te 2 serwery to mniejsze zagrożenie.

Pozdrawiam

Mariusz

[mkr]

Zakładam konto na i365 ovh i paru innych hostingach i mam możliwość dostępu do wszystkich stron użytkowników tych systemów :? Ciekawe ciekawe... Trzeba by sprawdzić, które hostingi są na to podatne.

[Daniel Kędzierski]

każdy który pozwala ci wpisać domene do vhost i dns

i każdy którego admin taką domene wpisze.

Odwołania będa poprostu llokalne.

Wiedząc w jakich zmiennych masz podesłać linki/metarefersh badz kod PHP robisz to bez problemu.

uważam że jesto to jedno z wiekszych błedów w systemach wymiany i odwoływaniu sie do zewnętrznych danych.

Choć największym był błąd LINKORN.pl bowiem ten zamiast posiadac PLIK Cache z kodem html cachowane są w postaci:

echo 'LINKI';

zamiast echo mozna wyslac dowoln kod PHP który zostanie wykonany.

[Bartek S.]

Sprawdzone, działa!

[Daniel Kędzierski]

Bartek przyznasz że to jest bardzo duzym zagrożeniem ?

A już w wypadku LINKORN.PL gdzie możesz zrobić wrzute PHP to istny BACKDOOR

[Bartek S.]

Jest to ogromne zagrożenie! Sprawdziłem sobie "delete (unlink)" w php, nie pytajcie o efekty. Na prawdę jest czym się martwić. (dobrze że nie korzystam z systemów wymiany ).

[lolki]

Dzięki Szook.

Mimo że nigdy nie korzystałem an poważnie to miałem zamiar.

Teraz to na pewno sie wstrzymam

[Daniel Kędzierski]

u mnie to był przypadek,

także nigdy nie używałem ale że planuje audycje na temat systemów wymiany to zaczełem testy

wiesz takie typu

intuicyjny FAQ, jasne zasady, prostota instalacji ,bezpieczeństwo.

Najbadziej jednak zaskoczył mnie system LINKORN nie mylić z LINKOR który w plikac cache gdzie powinny właśnie znajdować się LINKI postanowił umieszczac wykonywalną cześć kodu PHP transportowaną poźniej do PLIKU PHP co daje właśnie możliwość podrzucenia obcego kodu PHP>

Skuteczności nie chciałem komentować bowiem to jest cieżka miara.

Ale że zaniepokoił mnie ten fakt wolałem go napisac by admini systemów to sobie pozmieniali niż ktoś ma tego użyć w złym celu.

[Daniel Kędzierski]

a najważniejsze jak sie zabezpiczyć gdy uzywamy systemu a jeszcze admini nie są gotowi z poprawkami.

Tracert domena systemu

sprawdzamy IP i wszedzie w skryptach PHP systemu który umieścilismy nazwe domeny zamieniamy na IP systemu.

[cashmajster]

LINKORN'owcy podobno zabezpieczają skrypt i za kilka godzin ma już coś powstać tylko czy to będzie skuteczne?

Oj ciekawie zapowiada się współpraca z systemami

Szczególnie teraz ktoś może narobić kaszany.

[Daniel Kędzierski]

a sprawdzić na jakich serwerach współdzielonych np można znaleźć domeny z linkora łatwo.

https://www.google.pl/search?client=firefox...Szukaj+w+Google

a ten wynik pokazuje nastepny BUG systemu - wystawienie stron systemowych na tapetę do odstrzału przez enginiarki. Oj jak dla mnie mało powazne podejście systemów do zabezpieczenia dobra stron emitujących linki.

Myśle że po takich newsach wielu się zastanowi czy chciałoby być w tym spisie googla bo to jak jeden wielki spam raport dla google/ bądź narażonym na buga hacka.

tracert kilku domen sprawdzenie czy posiada sie konto u danego hostingowcy i domeny leżą z tego spisu..

Jeden pozytyw chciałem zrobić zwykły test systemów do audycji a będę miał temat na ciekawą audycje w poniedziałek.

A poważnie mówiąc to osoby które sa wystawione na tapecie przez Bug Linkora lepiej jak usuna na kilka dni system bo jak ktos podeśle tego linka na blog Matta to może to być gorsze od hacka którego wykazałem.

A tak po kilku dniach pewno admini systemów uporają się i wróci wszystko do normy.

[Paweł Kobis]

Nie moge sie zgodzic z teza Szooka ze jest to bagdor. Powodem wystapienia tak powaznego problemu moze byc i jest glownie zle ustawienia praw do plikow i katalogow. To co opisujesz szook jest standardem ktory mozna wykonac na zle zabezpieczonych serwerach np przez skrypt c99.php i nie musi tam byc linkorna. Jesli chodzi o mozliwosc zainfekowania samej strony bo mamy echo nadal sa istotne prawa do plikow i katalogow oraz ustawienia serwera.

Jako ze zagrozenie oceniam w skali od 0 do 10 na 2+ aktualizacja zostanie wypuszczona dzisiaj w nocy. Latka juz jest zrobiona jednak dla osob ktore chca juz teraz zabezpieczyc swoj skrypt wystarczy wyedytowac plik xxxxx-sys.php i xxxxxx-upd.php i zamienic wszystkie odwolania do systemu linkorn po nazwie domeny

https://linkorn.pl/xxxxxx zamieniamy na https://195.114.1.43/~linkorn/xxxxx

Najszybsza metoda zabezpieczenia.

Tak czy tak dzis bedzie robiona aktualizacja wszystkich plikow gdzie zostanie poprawionych kilka funkcji dodatkowo ktore nie wplywaja na bezpieczenstwo ale na wydajnosc

PS: Aktualizacja jest juz gotowa i rozpoczynamy ja dopiero w nocy gdyz na czas aktualizacji musimy wylonczyc system i czekamy na mniejsze obciazenie serwerow bo troche zapytan puidzie

Poraz kolejny LinkORN pokazuje ze czyma reke na pulsie i jako jedyni natychmiast reagujemy na "zagrozenia"

[Daniel Kędzierski]

Dir Elite naprawde nie dyskutujmy bo wycxhodzi Twój totalny brak wiedzy ! a nie chce ci juz tłumaczyć jak poważna masz dziure.

Ale jak chcesz to OK

strona usera o nazwie strona.php

pobiera za pomocą curla dane z serwera linkorn.pl zapisuje je w cachu

te pliki cache zawierają wykonywalny kod PHP.

Równie dobrze można zamiast tego kodu wysłać każdy INNY - i niema to nic wspólnego z PRAWAMI DOSTĘPU

to zwykły INCLUDE z serwera zewnętrznego - ja myślałem że rozumiesz BUGA jakiego masz w systemie a Ty dalej swoje.

W Twoich Plikach cache powinien być KOD HTML a w kodzie strony usera gdzie emituje linki dopiero ECHO '

a nie że wysyłasz KOD PHP jako LINKI.

Myslałem że zrozumiałeś powagę błedu tego jak i tego z domeną a Ty nadal swoje.

Ale może jest tutaj jakiś PHPowiec który ci to wyjasni - co to znaczy pobranie curlem kodu PHP i zapisanie go do pliku i możliwośc podmiany miejsca z którego pobierasz kod php i zapisanie w plikach innego kodu.

PS. i mam prośbę nie reklamuj systemu słowami i widac jak dobrym systemem jest LINKORN.pl bo 1 reaguje bowiem od wczoraj mówiłeś na moim forum że miałeś AUDYT systemu i ten audyt przeprowadzały głowy wieksze niż moja a ja wymyslam bo nic takiego nie jest możliwe. Dziś wiedząc o tym od wczoraj zaczynasz dopiero działać. Działać dopiero gdy jasno pisząc wielokrotnie to samo wykazałem że mogę ci powalić system.

Wiec nie rób z tego systemu wyjątko bowiem to on jedyny ma swojego rodzaju BACKDOORA umozliwiającego wstrzyknięcie kodu PHP.

[Paweł Kobis]

Tak jak juz napisalem problem jest rozwiazany juz od pewnego czasu. Najprosciej twoj patent mozna obejsc wlasnie poprawieniem w sumie 1 pliku i po sprawie

[Daniel Kędzierski]

ciesze się ze zareagowałeś jako 1 . choć zdanie nadal takie samo jak post wyżej,.