[ترقيع] ثغرة تحويل المنتدى

XP · 09-15-2006, 01:02 AM

السلام عليكم ورحمه الله

درجة خطورة الثغره : عاليه
النسخ المصابه : vB3.5.xو vB3.6.x
المكتشف : FLASHYAN
المصدر : xxxxxxxxx

هناك ثغرة لااعلم مدى حداثتها

اصيب موقعي بإختراق وكل مايدل على هذا الاختراق انه عن طريق التمبلت Forumhome

الى ان نبهني الاخ العجيب ( ابو الحسن ) بوجود **** TAG في احد المواضيع وبالطبع سوف تظهر المواضيع الاخير في اي قسم في جدول اخر المشاركات في الصفحة الرئيسية بالمنتدى

الكود الذي تم استخدامه في موقعي هوا للتحويل الذاتي لموقع المخترق

لن اذكر الكود منعا لإنتشارة

الترقيع :

عن طريق ملف newthread.php الموجود في مجلد المنتدى الرئيسي

والتعديل هنا لكي نمنع ال <TAG> من الظهور في عنواين المواضيع

اولا قم بأخذ نسخه احتياطيه من الملف newthread.php

قم بفتح الملف newthread.php

وابحث عن :

كود:

$newpost['title'] =& $vbulletin->GPC['subject'];

إستبدلها بـ :

كود:

$newpost['title'] =htmlspecialchars_uni(& $vbulletin->GPC['subject']); 
    //    $newpost['title'] =& $vbulletin->GPC['subject'];

وهنا قمنا بإيقاف السطر القديم واضافة الجديد المعدل

تمت التجربه على النسخه 3.5.4 و النسخه 3.6.0 تحمل نفس الخطأ في النسخه السابقه

الملف الجاهز المعدل للنسحه 3.5.4 في المرفقات وانتبهو ترا نسختي مرخصه اخاف يكون في الملف اكواد تبليغ ولا شي تراني ماافهم في ذي السوالف

احسن شي عدلو الملف يدوي

وفي الاخير ارجو يامن استفدت من موضوعي ان تدعي لي ولاخوي بشير في ظهر الغيب

وضع الكلمات المرفقه في الكلمات الممنوعه من لوحة تحكم المنتدى

منقول للفائده

defd · 09-15-2006, 06:01 PM

جزاك الله خير
والافضل التعديل يدويا بما انك تحمل ترخيص لن حسب علمي وضعو كود التبليغ
في اكثر من ملف وليس بالكونفيق والانستول كما كان سابقا

XP · 09-15-2006, 10:05 PM

يسلمو اخوي على مرورك نعم انا حاط كود ترقيع وراح يكون الترقيع يدوي وضافه لترقيع وضع الكلمات الممنوعه من لوحة تحكم المنتدى

BLACK LINE · 09-20-2006, 12:42 PM

مشكورxp اكتسبنا معرفة الترقيع للاصدارات الجديده والله منوووور

Mr.TyrAnT · 10-30-2006, 01:22 AM

يعطيك الف عافيه يا Xp

قسم بالله ان هذي الثغره انها طايحين فيها اطفال الهكرز وانا من باب تجربه شخصيه جا لمنتداي طفل هكرز وحط الكود هذا وهو مايدري اصلا اني حاظره قبل لا ينخلق هو ويوم حط الكود اخذته برجوله وعلقته وخليت الناس تضحك عليه عشان يعرف انه طفل

تحياتي لك

x-files · 11-04-2006, 11:36 AM

السلام عليكم

شكرا ً اخي الكريم XP على المعلومة القمية
وعندي اضافة بسيطة
باستطاعة العضو
أن يستخدم الكود
عن طريق اضافة رد
أو عن طريق تعديل الموضوع وكتابة الكود كعنوان لموضوعه
في هذه الحالة سيصعب عليه لأن مكان العنوان لا يدعم أكثر من 80 حرف
ولكن يسهل التحايل عليه بطرق عديدة
لن أتطرق لذكرها خوفأ من إستخدامها

طبعا ً تطور هذا الكود كثيرا ً
فأصبحوا يستخدمون أكواد غير <M E T A> كـ < S C R I P T >
وما دام وصلت لسكربت
فمعناه أن المخترق يقدر يوصل لمواصيل الله يستر منها

وطبعا ً الكود زي ما ذكر أخوي Xp لا يُنفذ إلا في الصفحة الرئيسية للمنتدى
الثغرة تصبح مُمكنة ْ إذا كان في المنتدى
هاك الإحصائيات القديم
أو هاك عشرة مواضيع

فالأفضل ترقية الإحصائيات وتركيب هاك آخر عشرة مواضيع المطور
هذا ولكم تحيتي
X-Files

XP · 11-04-2006, 05:16 PM

الف شكر لكم خواني على المرور

كلامك صحيح اخوي Mr.TyrAnT اغلب الي جلس يضيف الكود في المنتديات هذا فرجان في تحويل المنتدى بس في نفس الوقت هذا خطأ أمني كبير ممكن يحول المنتدى الى صفحه ملغومه بفايرس او بباتش او بلوج يأذي الاعضاء

نعم اخوي x-files كلامك صحيح الكود الاول معروف في استخدامات كثيره منها تحويل المواقع لمواقع اخرى وستخدامه في الجاف في تصاميم المواقع ومكان احد يتوقع انه يحول يشتغل في الافي بي اول من استخدمها التركي وجربها علينا ههههههه

بعدها بحثت في المواقع الاجنبيه لقيت الكواد كثيره منها من يعمل ستوب لصفحة المنتدى ويختلف اختلاف كامل عن الكود القديم وتسلم يلغالي على الاضافه

eldamar · 11-27-2006, 09:29 AM

ما شاء الله عليك
استاذ بمعني الكلمه
يعطيك العافيهxp
ويجازيك خير ان شاء الله

KiNg_M@xXp · 12-22-2006, 12:57 AM

مشكوور يا xp على المساعدة

" الخــــيـــال " · 12-24-2006, 06:21 AM

بارك الله فيك اخوي

وفلا حصلت معي في المنتدى

والحمد لله قدرنا نتخطى الثغره

تسلم اخوي شرح وافي وكافي

[ترقيع] ثغرة تحويل المنتدى

الحماية من ثغرات المواقع و السرفرات

[ترقيع] ثغرة تحويل المنتدى

الحماية من ثغرات المواقع و السرفرات