Коментарі для запису: Добірка експлоітів

від: MustLive

Tue, 16 Jan 2007 22:18:24 +0000

phpBB2 і халявний (безкоштовний) і опенсорсний (з вихідними кодами), та при цьому ще й самий популярний форумний движок. І цим він завдячує своїй халявності та опенсорсності (в також він відносно легкий для сервера).

Але звени увагу, з чого я починав свій Сервіс Пак весною 2005 - як раз з діри в пхпББ . Бо тоді користувася цим движком, а потім перейшов на IPB1, а пізніше на IPB2 - і в наступних версіях мого Сервіс Пака я вже писав про діри в движках IPB . Але в цілому, уразливостей знаходять більше (і частіше) саме в phpBB (і зокрема phpBB2), тому й він вважається менш захищеним за IPB (і стає зрозуміло в кого піська краща). Як я вже казав, розробникам пхпББ треба більше працювати над безпекою.

Ну і на доданок до твого прикладу, про самий захищений форум . Окрім вимкненого сервера, це ще може бути форум на ПК не підключенго до мережі (на локалхості), причому не підключеного ні до Інтернет, ні до ЛАН. А також ще один варіант, самий захищений форум - це не форум взагалі.

від: guman

Fri, 12 Jan 2007 18:05:44 +0000

Може phpBB2 і є уразливий, але його юзають попри всі дірки, бо він халявний. До речі IPB, прихильником якого є ти, теж має і буде мати дірки , тому не будемо казати чия піська краща , з будь-якого форуму можна зробити цукерку. І ніхто не застрахований в наш час, домашніх хакерів завжди вистачало. Самий захищений форум, це форум на вимкненому сервері

від: MustLive

Fri, 12 Jan 2007 11:02:52 +0000

Так я розумію, що phpBB 2 - це основний їх движок, але ж і 3-й також вже потрохи використовують (наскільки сильно, мені не відомо, може й насправді мало хто його юзає), як мінімум адміни можуть його юзати для тестування та відлагодження. Cтосовно останніх версій софта, та веб софта зокрема, нерідко зустрічаються люди, які люблять подібний софт (альфи і бети), та нерідко самі розробники цього софта його юзають, для демонстрації впевненості в своєму продукті та безпосередньо для тестування.

Тому слідкувати потрібно за усіма версіями - і поточними і найступними. А даний приклад експлоіта демонструє, що навіть у новій версії є уразливості - а нові версії повинні бути кращими і безпечними. Над чим пхпББ-шнікам ще потрібно працювати.

А з приводу стабільності гілки 2.0.х - почитай в мене на сайті розділи Експлоіти та Уразливості (та почитай багтреки), і тоді стане ясно, що цей движок стабільний в одному - в постійній наявності уразливостей в ньому.

від: guman

Fri, 12 Jan 2007 10:03:50 +0000

річ у тім, шо phpBB 3 реально ще ніхто у мережі не юзає, бо зараз тільки бета 4 реліз, а 2.0.х зарекомендував себе більш-меншь стабільним. Тому шукати уразливості в “прототипі” хибний шлях І пройде ще мінімум пів-року, поки піпл почне його ставити.

від: MustLive

Thu, 11 Jan 2007 18:27:16 +0000

guman, стосовно phpBB я завжди всім раджу оновлювати його до останної версії, щоб бути найбільш захищеним.

І в своїх новинах я регулярно згадую про движок phpBB (як ось зараз) - про різні уразливості в даному движку і про експлоіти для цих дір. І ще буду регулярно про phpBB згадувати (список дір і експлоітів в різних веб додатках в мене здоровий, встигай лише публікувати, та й регулярно знаходять нові діри і виходять нові експлоіти).

Ось ти пишеш про версію 2.0.22, а ще в липні минулого року я писав про Exploit для рhpBB 3 . Так що пхпББ-шнікам ще працювати і працювати над безпекою.

від: guman

Thu, 11 Jan 2007 17:31:08 +0000

щодо форума phpBB, то вийшов апдейт 2.0.22, тому хутко усім завантажувати . Було виправлено пару багів та й з безпеки щось там придумали:
- Check for the avatar upload directory reinforced
- Changes to the criteria for “bad” redirection targets - kellanved
- Fixed a non-persistent XSS issue in private messaging
- Fixing possible negative start parameter - SpiderZ.
- Added session checks to various forms - kellanved