Уразливості в Invision Power Board
23:52 16.03.2009У квітні, 29.04.2008, я знайшов Abuse of Functionality та Insufficient Anti-automation уразливості в форумному движку Invision Power Board.
Abuse of Functionality:
Мені вже давно (с 2005) була відома можливість визначення логінів на форумі - ім’я користувача на форумі є одночасно і його логіном. А того дня я виявив ще одну можливість, що базується на моєму методі виявлення логінів через Abuse of Functionality уразливості.
На сторінці реєстрації http://site/index.php?act=Reg&CODE=00 функція перевірки логіну (чи вільний даний логін), що спрацьовує при введені імені користувача, дозволяє дізнатися логіни користувачів в системі.
Якщо вказаний логін є на форумі, система відповість “found”:
http://site/index.php?act=xmlout&do=check-user-name&name=admin
Якщо вказаного логіну немає на форумі, система відповість “notfound”:
http://site/index.php?act=xmlout&do=check-user-name&name=admin_
Insufficient Anti-automation:
Враховучи, що дана функція немає захисту від автоматизованих атак, це дозволяє проводити автоматизоване виявлення логінів в системі. Що може бути зроблено за допомогою брутфорсерів логінів, зокрема, моєї програми Brute force login identifier.
В подальшому виявлені логіни можуть бути використані для визначення паролів користувачів системи.
Уразливі Invision Power Board 2.3.6 та попередні версії.
Неділя, 19:45 22.11.2009
Нещодавно, я оприлюднив Information Leakage уразливість в Invision Power Board. І, як я раніше перевірив, дана уразливість, що призводила до витоку логінів в системі, була виправлена в IPB 3.
Як я щойно перевірив, наведені в даному записі Abuse of Functionality та Information Leakage дірки, що призводили до витоку інформації, також були виправлені в IPB 3. Схоже, що розробники Invision Power Board прислухалися до моїх порад, та виправили в новій версії движка одразу всі уразливості, що призводили до витоку інформації про логіни на форумі.