Onderwerp: Hacker??

Om de gebruiker van de site plaatjes te laten uploaden heb ik een map
aangemaakt met chmod 777.
Nu vind ik daar ook bestanden in als cungkee.php en wendz.php.
Broncode:
http://www.nicoschuyt.nl/test/cungkee.txt
http://www.nicoschuyt.nl/test/wendz.txt
Iemand een idee of die scripts kwaadaardig zijn en hoe je zoiets kunt
voorkomen?

--
Nico Schuyt
http://www.nicoschuyt.nl/

Nico Schuyt:
>Om de gebruiker van de site plaatjes te laten uploaden heb ik een map
>aangemaakt met chmod 777.
>Nu vind ik daar ook bestanden in als cungkee.php en wendz.php.
[...]
>Iemand een idee of die scripts kwaadaardig zijn en hoe je zoiets kunt
>voorkomen?

De gebruiker moet alleen niet-executerende extensies (.gif, .jpg e.d.)
kunnen uploaden. Geen .pl, .cg, .php etc. Dat moet je server-side checken,
vóórdat een bestand onder de webroot in het filesystem valt.

Daarnaast zou je de webserver veilig kunnen configureren, om in de
uploaddirectory niets te interpreteren en executeren.

--
René Pijlman

Wat wil jij leren? http://www.leren.nl

Rene Pijlman wrote:
> Nico Schuyt:
>> Om de gebruiker van de site plaatjes te laten uploaden heb ik een map
>> aangemaakt met chmod 777.
>> Nu vind ik daar ook bestanden in als cungkee.php en wendz.php.
> [...]
>> Iemand een idee of die scripts kwaadaardig zijn en hoe je zoiets kunt
>> voorkomen?

> De gebruiker moet alleen niet-executerende extensies (.gif, .jpg e.d.)
> kunnen uploaden. Geen .pl, .cg, .php etc. Dat moet je server-side
> checken, vóórdat een bestand onder de webroot in het filesystem valt.

Ehhh, dat heb ik:
$acceptedTypes = array('image/jpeg', 'image/jpg', 'image/pjpeg',
'image/gif', 'image/x-png');
if(!in_array($_FILES['strImage']['type'], $acceptedTypes) ||
trim($_FILES['strImage']['tmp_name']) == "" ||
trim($_FILES['strImage']['tmp_name']) =="none") {
echo $_FILES['strImage']['name']." is geen geldig bestand (Het moet een
GIF, PNG, JPG of JPEG zijn). ";
exit;
}

> Daarnaast zou je de webserver veilig kunnen configureren, om in de
> uploaddirectory niets te interpreteren en executeren.

Ik heb dat opgenomen met de host (NXS). Volgens hen is dat niet mogelijk (op
hun server?).

--
Nico Schuyt
http://www.nicoschuyt.nl/

"Nico Schuyt" <nschuyt@hotmail.com> wrote:

[Interpretatie in sommige dirs .php tegengaan]
> Ik heb dat opgenomen met de host (NXS). Volgens hen is dat niet
> mogelijk (op hun server?).

Vreemd. Je kunt op bijv. een Apache server in een .htaccess bestandje in de
dir toch even proberen:

AddType text/plain .php

o.i.d.

WD

Nico Schuyt:
>Rene Pijlman:
>> De gebruiker moet alleen niet-executerende extensies (.gif, .jpg e.d.)
>> kunnen uploaden. Geen .pl, .cg, .php etc. Dat moet je server-side
>> checken, vóórdat een bestand onder de webroot in het filesystem valt.
>
>Ehhh, dat heb ik:

Kennelijk werkt dat niet goed. Toch? Ik bedoel, waar komen anders die
php's vandaan?

>> Daarnaast zou je de webserver veilig kunnen configureren, om in de
>> uploaddirectory niets te interpreteren en executeren.
>
>Ik heb dat opgenomen met de host (NXS). Volgens hen is dat niet mogelijk (op
>hun server?).

Ik weet niet wat voor server je hebt en wat voor beheercontract. Maar mijn
server staat ook bij NXS, en daarop kan het wel :-)

"RemoveType directive
Context: [...] directory, .htaccess"
http://httpd.apache.org/docs/1.3/mod...tml#removetype

Als je .htaccess gebruikt, vergeet dan niet het uploaden van .htaccess
onmogelijk te maken. Veiliger is om een <Directory> container in
httpd.conf te gebruiken. Maar die heb je misschien niet zelf in beheer (ik
wel).

--
René Pijlman

Wat wil jij leren? http://www.leren.nl

Rene Pijlman wrote:
> Nico Schuyt:
>> Rene Pijlman:
>>> De gebruiker moet alleen niet-executerende extensies (.gif, .jpg
>>> e.d.) kunnen uploaden. Geen .pl, .cg, .php etc. Dat moet je
>>> server-side checken, vóórdat een bestand onder de webroot in het
>>> filesystem valt.

>> Ehhh, dat heb ik:

> Kennelijk werkt dat niet goed. Toch? Ik bedoel, waar komen anders die
> php's vandaan?

>>> Daarnaast zou je de webserver veilig kunnen configureren, om in de
>>> uploaddirectory niets te interpreteren en executeren.

>> Ik heb dat opgenomen met de host (NXS). Volgens hen is dat niet
>> mogelijk (op hun server?).

> Ik weet niet wat voor server je hebt en wat voor beheercontract. Maar
> mijn server staat ook bij NXS, en daarop kan het wel :-)

> "RemoveType directive
> Context: [...] directory, .htaccess"
> http://httpd.apache.org/docs/1.3/mod...tml#removetype

> Als je .htaccess gebruikt, vergeet dan niet het uploaden van .htaccess
> onmogelijk te maken. Veiliger is om een <Directory> container in
> httpd.conf te gebruiken. Maar die heb je misschien niet zelf in
> beheer (ik wel).

Ga ik proberen. Bedankt!
--
Nico Schuyt
http://www.nicoschuyt.nl/

Warden Dave wrote:
> "Nico Schuyt" <nschuyt@hotmail.com> wrote:
>
> [Interpretatie in sommige dirs .php tegengaan]
>> Ik heb dat opgenomen met de host (NXS). Volgens hen is dat niet
>> mogelijk (op hun server?).

> Vreemd. Je kunt op bijv. een Apache server in een .htaccess bestandje
> in de dir toch even proberen:
> AddType text/plain .php
> o.i.d.

Ga ik mee aan de slag. Bedankt voor de tip!

Iemand nog enig idee wat die scripts kunnen aanrichten?

--
Nico Schuyt
http://www.nicoschuyt.nl/

Nico Schuyt:
>Iemand nog enig idee wat die scripts kunnen aanrichten?

I.i.g. alles wat de Apache-user (www-data) mag. Vermoedelijk: onbegrensde
mogelijkheden op al je data in MySQL.

--
René Pijlman

Wat wil jij leren? http://www.leren.nl

Rene Pijlman wrote:
> Nico Schuyt:
>> Iemand nog enig idee wat die scripts kunnen aanrichten?

> I.i.g. alles wat de Apache-user (www-data) mag. Vermoedelijk:
> onbegrensde mogelijkheden op al je data in MySQL.

Mijn hemel
--
Nico Schuyt
http://www.nicoschuyt.nl/

Nico Schuyt:
>Rene Pijlman wrote:
>> Nico Schuyt:
>>> Iemand nog enig idee wat die scripts kunnen aanrichten?
>
>> I.i.g. alles wat de Apache-user (www-data) mag. Vermoedelijk:
>> onbegrensde mogelijkheden op al je data in MySQL.
>
>Mijn hemel

Je werkt toch niet in een nucleair laboratorium he?

--
René Pijlman

Wat wil jij leren? http://www.leren.nl

Rene Pijlman wrote:
> Nico Schuyt:
>> Rene Pijlman:
>>> De gebruiker moet alleen niet-executerende extensies (.gif, .jpg
>>> e.d.) kunnen uploaden. Geen .pl, .cg, .php etc. Dat moet je
>>> server-side checken, vóórdat een bestand onder de webroot in het
>>> filesystem valt.
>>
>> Ehhh, dat heb ik:
>
> Kennelijk werkt dat niet goed. Toch? Ik bedoel, waar komen anders die
> php's vandaan?
>
>>> Daarnaast zou je de webserver veilig kunnen configureren, om in de
>>> uploaddirectory niets te interpreteren en executeren.
>>
>> Ik heb dat opgenomen met de host (NXS). Volgens hen is dat niet
>> mogelijk (op hun server?).
>
> Ik weet niet wat voor server je hebt en wat voor beheercontract. Maar
> mijn server staat ook bij NXS, en daarop kan het wel :-)
>
> "RemoveType directive
> Context: [...] directory, .htaccess"
> http://httpd.apache.org/docs/1.3/mod...tml#removetype

Vreemd:
AddType text/plain .php #Werkt.
RemoveType .php #Doet niets (lijkt het)

Opgelost met:
<FilesMatch "\.(pl|cgi|py|php|php3|php4|php5|phtml?|shtml? )$">
deny from all
</FilesMatch>

--
Nico Schuyt
http://www.nicoschuyt.nl/

Nico Schuyt wrote:

> http://www.nicoschuyt.nl/test/cungkee.txt
> http://www.nicoschuyt.nl/test/wendz.txt
>
> Iemand een idee of die scripts kwaadaardig zijn en hoe je zoiets kunt
> voorkomen?

Die zijn knap kwaardaardig, ze geven een command shell, file browser,
installeren een backdoor. Is het een dedicated/colocated bak of een
shared hosted website?

hgj

--
Doe mee met de W2K6.nl pool.
Gratis deelname, 4 MP3 spelers van 4 GB te winnen.
http://w2k6.nl/?page=pool

Herbert Groot Jebbink wrote:
> Nico Schuyt wrote:

>> http://www.nicoschuyt.nl/test/cungkee.txt
>> http://www.nicoschuyt.nl/test/wendz.txt

>> Iemand een idee of die scripts kwaadaardig zijn en hoe je zoiets kunt
>> voorkomen?

> Die zijn knap kwaardaardig, ze geven een command shell, file browser,
> installeren een backdoor. Is het een dedicated/colocated bak of een
> shared hosted website?

shared

--
Nico Schuyt
http://www.nicoschuyt.nl/

Nico Schuyt wrote:
> Om de gebruiker van de site plaatjes te laten uploaden heb ik een map
> aangemaakt met chmod 777.
> Nu vind ik daar ook bestanden in als cungkee.php en wendz.php.
> Broncode:
> http://www.nicoschuyt.nl/test/cungkee.txt
> http://www.nicoschuyt.nl/test/wendz.txt
> Iemand een idee of die scripts kwaadaardig zijn en hoe je zoiets kunt
> voorkomen?
>

Dag Nico, wellicht heb je hier wat aan?
<http://www.vevida.com/service/240#833>

Jij maakt gebruik van:
$_FILES['userfile']['type']
En volgens de PHP documentatie
(http://nl3.php.net/manual/en/features.file-upload.php):
The mime type of the file, if the browser provided this information.
An example would be "image/gif". This mime type is however not
checked on the PHP side and therefore don't take its value for
granted.

In de uitleg maak ik gebruik van de functies:
* image-type-to-mime-type()
* getimagesize()
naast het controleren op extensie:
if (eregi("(jpg|jpeg|gif|png|bmp)$",$_FILES[$UserFileName]['name'])) {

(ik zit net te kijken dat de controle op extensie ook beter kan, maar goed)

$MimeType =
image_type_to_mime_type(getimagesize($_FILES[$UserFileName]['tmp_name']));

// controleert aan de hand van het mime-type of het wel
// daadwerkelijk een image betreft.
// if-regel verdeeld over meerdere regels
if ($MimeType == ("image/png") || $MimeType == ("image/jpeg") ||
$MimeType == ("image/gif") || $MimeType == ("image/png") ||
$MimeType == ("image/bmp")) {

Maar dit is helaas ook niet mijn sterkste punt en het is al een flinke
tijd geleden dat ik hier naar gekeken heb (daarom sta ik ook open voor
verbeteringen in de uitleg ).

--
Met vriendelijke groet / Best regards,
Jan Reilink, VEVIDA Nederland BV

Postbus 329, 9700 AH GRONINGEN, +31(0)50 - 5492234

Jan Reilink wrote:
> Nico Schuyt wrote:
>> Om de gebruiker van de site plaatjes te laten uploaden heb ik een map
>> aangemaakt met chmod 777.
>> Nu vind ik daar ook bestanden in als cungkee.php en wendz.php.
>> Broncode:
>> http://www.nicoschuyt.nl/test/cungkee.txt
>> http://www.nicoschuyt.nl/test/wendz.txt
>> Iemand een idee of die scripts kwaadaardig zijn en hoe je zoiets kunt
>> voorkomen?

> Dag Nico, wellicht heb je hier wat aan?
> <http://www.vevida.com/service/240#833>

> Jij maakt gebruik van:
> $_FILES['userfile']['type']
> En volgens de PHP documentatie
> (http://nl3.php.net/manual/en/features.file-upload.php):
> The mime type of the file, if the browser provided this information.
> An example would be "image/gif". This mime type is however not
> checked on the PHP side and therefore don't take its value for
> granted.

> In de uitleg maak ik gebruik van de functies:
> * image-type-to-mime-type()
> * getimagesize()
> naast het controleren op extensie
[knip]

Prima Jan, ga ik gebruiken. Alleen de mime type checken heeft er toe geleid
dat de gebruiker van de site ook allerlei verdacht bestanden geupload heeft
als M9.8B5 (in dit geval een onschuldige JPG)
Bedankt weer.

Weet jij toevallig of er op een Windows-server een equivalent is van:
RemoveType .php
en/of
<FilesMatch "\.(pl|cgi|py|php|php3|php4|php5|phtml?|shtml? )$">
deny from all
</FilesMatch>
?


--
Nico Schuyt
http://www.nicoschuyt.nl/