Afdrukvoorbeeld
Deze host biedt zo'n automatiswche installatie aan van onder meer Mambo (Joomla zag ik er niet bijstaan). Helaas worden deze scripts niet vaak geupdate. En vaak installeer je met dit type software (oa installatron etc) al oude versies van de software. Laat staan dat inderdaad extra toevoegingen ook lek kunnen zijn. Er is echter wel bekend welke toevoegingen 'lek' zijn en een aantal kun je al patchen.....
ik heb om die reden wel gisteren in installatron het beroemde php-nuke en phpBB uit die lijst verwijderd, gister weer die turk op bezoek gehad bij een klant met php-nuke :(
Het is gewoon een wedstrijd om te laten zien aan al je vrienden hoe vet cool je bent dat je 500 websites tegelijk op je teller erbij hebt. Stoer toch?! (aldus menig scriptkiddie)Citaat:
Oorspronkelijk geplaatst door xYnta
Bekijk het eens zo:
Die "hacker" houdt het lek voor zich en het wordt zo nooit ontdekt.
Rustig gaat hij indexeren waar al die websites staan en dan ineens defaced hij duizenden websites met eventueel schokkende teksten? (Wel handig als je je politieke standpunten even duidelijk wil maken :) )
Nu is het bekend hoe het gedaan is, dus wordt het lek gedicht.
Iedere dag worden deze meldingen via secunia op de allert list gezet, alleen vandaag wederom 5 stuks, hieronder een paar van deze meldingen van de afgelopen dagen:
laatste meldingen 31/07/2006:
Mambo Mambatstaff Component File Inclusion Vulnerability
http://secunia.com/advisories/21292/
Mambo UHP Component File Inclusion Vulnerabilities
http://secunia.com/advisories/21305/
Joomla Colophon Component File Inclusion Vulnerability
http://secunia.com/advisories/21288/
Mambo MGM Component File Inclusion Vulnerability
http://secunia.com/advisories/21268/
Joomla Security Images Component File Inclusion
http://secunia.com/advisories/21260/
Eerdere meldingen:
Joomla PollXT Component File Inclusion Vulnerability
http://secunia.com/advisories/21068/
Mambo LoudMouth Component File Inclusion Vulnerability
http://secunia.com/advisories/21077/
Mambo VideoDB Component File Inclusion Vulnerability
http://secunia.com/advisories/21082/
Mambo-SMF Forum Component File Inclusion Vulnerability
http://secunia.com/advisories/21079/
Mambo a6MamboHelpDesk Component File Inclusion
http://secunia.com/advisories/21227/
SOLUTION for all components:
Edit the source code to ensure that input is properly verified.
Deze waren al enige dagen bekend.
Op joomla.org (http://forum.joomla.org/index.php/topic,79477.0.html) worden de kwetsbare componenten vermeld met of een update advies / patch of het advies om he component te verwijderen omdat er niets meer aan ontwikkeld wordt
Voor de meeste componenten is trouwens al een veilige(re) versie bechikbaar!
Nu alleen de diverse klanten overhalen om de nieuwste versies te installeren...........
Successful exploitation requires that "register_globals" is enabled.Citaat:
Oorspronkelijk geplaatst door japieo
:-)
Wat helaas niet altijd te voorkomen is, met de wildgroei aan PHP applicaties die register_globals = on vereisen (we hebben het onderzocht). Daar je in IIS niet via een .htaccess bestand deze instelling kan wijzigen, moet je register_globals wel op "on" zetten. Wanneer een klant de instelling op "off" wenst, dan stellen we dit in via een eigen php.ini.Citaat:
Oorspronkelijk geplaatst door crazycoder
Gelukkig kunnen de scripts, enkel gescript voor Linux/Unix servers, vrijwel niets met Windows / IIS servers uitvreten, behalve het defacen van de betreffende (lekke) website.
Wij proberen zo klanten te informeren (als mede via een gesloten mailinglist):
http://www.vevida.com/NL/nieuws_over...ategorie=1#185
Wij doen het precies andersom. Standaard uit, met een beetje educatie kom je een eind. Wie register_globals vereist heeft z'n regular expressions ook niet op orde. Desgewenst kunnen ze gratis enige support krijgen op de ontwikkeling, wie brakke rommel wil draaien verwijzen wij graag door. ;)Citaat:
Oorspronkelijk geplaatst door Digiover
Het wordt de hoogste tijd dat luitjes na hun "hello world" applicatie eerst eens gaan leren hoe e.e.a. moet...
Hehe,Citaat:
Oorspronkelijk geplaatst door crazycoder
The fast way: 'hello world' in 3 regels.
The good way: 'hello world' in 30 regels waar je over na moet denken.
'Ze' weten het wel... maar het kost tijd en dus geld... en zolang een klant nog steeds blijft betalen voor de blunders/nalatigheid van de programmeur zal het wel niet veranderen :S
Laat "hello world" dan eens zien in 30 regels, zonder welke keer een letter toe te voegen uiteraard ! :D:D:D:D
Heb ik net een complete hello world class gemaakt binnen 30 regels, zie ik een geoptimaliseerde manier om het te doen :)Citaat:
Oorspronkelijk geplaatst door Bullcat
gne gne..Code:<FONT size="120">Hello World</FONT>
InderdaadCitaat:
Oorspronkelijk geplaatst door crazycoder
Veel mensen noemen zich een "ervaren programmeur", maar hun geleverde code is dan echt om te huilen.
Ik kijk meestal naar het doel/belang van de gevraagde functie en geef de klant verschillende mogelijkheden.Citaat:
Oorspronkelijk geplaatst door Wido
De cheap-ass versie waar ie niet te gek veel van moet verwachten of de nette versie. De eerste oplossing bestaat meestal uit integratie van bestaande code/scripts en eventueel een paar aanpassingen.
De nette is meestal ook significant duurder maar wordt dan wel 100% gesupport door me.