Websecurity - Веб безпека

6 відповідей на “Добірка експлоітів”

1. guman каже:
   Четвер, 19:31 11.01.2007

   щодо форума phpBB, то вийшов апдейт 2.0.22, тому хутко усім завантажувати . Було виправлено пару багів та й з безпеки щось там придумали:
   - Check for the avatar upload directory reinforced
   - Changes to the criteria for “bad” redirection targets - kellanved
   - Fixed a non-persistent XSS issue in private messaging
   - Fixing possible negative start parameter - SpiderZ.
   - Added session checks to various forms - kellanved

2. MustLive каже:
   Четвер, 20:27 11.01.2007

   guman, стосовно phpBB я завжди всім раджу оновлювати його до останної версії, щоб бути найбільш захищеним.

   І в своїх новинах я регулярно згадую про движок phpBB (як ось зараз) - про різні уразливості в даному движку і про експлоіти для цих дір. І ще буду регулярно про phpBB згадувати (список дір і експлоітів в різних веб додатках в мене здоровий, встигай лише публікувати, та й регулярно знаходять нові діри і виходять нові експлоіти).

   Ось ти пишеш про версію 2.0.22, а ще в липні минулого року я писав про Exploit для рhpBB 3 . Так що пхпББ-шнікам ще працювати і працювати над безпекою.

3. guman каже:
   П'ятниця, 12:03 12.01.2007

   річ у тім, шо phpBB 3 реально ще ніхто у мережі не юзає, бо зараз тільки бета 4 реліз, а 2.0.х зарекомендував себе більш-меншь стабільним. Тому шукати уразливості в “прототипі” хибний шлях І пройде ще мінімум пів-року, поки піпл почне його ставити.

4. MustLive каже:
   П'ятниця, 13:02 12.01.2007

   Так я розумію, що phpBB 2 - це основний їх движок, але ж і 3-й також вже потрохи використовують (наскільки сильно, мені не відомо, може й насправді мало хто його юзає), як мінімум адміни можуть його юзати для тестування та відлагодження. Cтосовно останніх версій софта, та веб софта зокрема, нерідко зустрічаються люди, які люблять подібний софт (альфи і бети), та нерідко самі розробники цього софта його юзають, для демонстрації впевненості в своєму продукті та безпосередньо для тестування.

   Тому слідкувати потрібно за усіма версіями - і поточними і найступними. А даний приклад експлоіта демонструє, що навіть у новій версії є уразливості - а нові версії повинні бути кращими і безпечними. Над чим пхпББ-шнікам ще потрібно працювати.

   А з приводу стабільності гілки 2.0.х - почитай в мене на сайті розділи Експлоіти та Уразливості (та почитай багтреки), і тоді стане ясно, що цей движок стабільний в одному - в постійній наявності уразливостей в ньому.

5. guman каже:
   П'ятниця, 20:05 12.01.2007

   Може phpBB2 і є уразливий, але його юзають попри всі дірки, бо він халявний. До речі IPB, прихильником якого є ти, теж має і буде мати дірки , тому не будемо казати чия піська краща , з будь-якого форуму можна зробити цукерку. І ніхто не застрахований в наш час, домашніх хакерів завжди вистачало. Самий захищений форум, це форум на вимкненому сервері

6. MustLive каже:
   Середа, 00:18 17.01.2007

   phpBB2 і халявний (безкоштовний) і опенсорсний (з вихідними кодами), та при цьому ще й самий популярний форумний движок. І цим він завдячує своїй халявності та опенсорсності (в також він відносно легкий для сервера).

   Але звени увагу, з чого я починав свій Сервіс Пак весною 2005 - як раз з діри в пхпББ . Бо тоді користувася цим движком, а потім перейшов на IPB1, а пізніше на IPB2 - і в наступних версіях мого Сервіс Пака я вже писав про діри в движках IPB . Але в цілому, уразливостей знаходять більше (і частіше) саме в phpBB (і зокрема phpBB2), тому й він вважається менш захищеним за IPB (і стає зрозуміло в кого піська краща). Як я вже казав, розробникам пхпББ треба більше працювати над безпекою.

   Ну і на доданок до твого прикладу, про самий захищений форум . Окрім вимкненого сервера, це ще може бути форум на ПК не підключенго до мережі (на локалхості), причому не підключеного ні до Інтернет, ні до ЛАН. А також ще один варіант, самий захищений форум - це не форум взагалі.

Leave a Reply

You must be logged in to post a comment.