المساعد الشخصي الرقمي

عرض الإصدار الكامل : حل نهائي لمشكلة الاعلانات

UaeStar
03-13-2007, 08:52 PM
السلام عليكم ورحمة الله وبركاته

بعد اختراق ترايدنت تم دراسة الموضوع وكان السبب هو ثغرة تحويل بالاعلانات
وتم اختراق ترايدنت والله اعلم عن طريق مشرفين المعهد ومراقبيه والله اعلم مجرد تخمين لانه ما فيه عضو مخول للتعديل ع الاعلانات كما تعلمون
مثال للثغره هنا بمنتدى تجريبي
http://www.roo7ae.com/ec/announcement.php?f=6

طريقة الاستغلال :
جميع اكواد التحويل المتعلقة html وبعض اكواد php مع العلم اني استعملت اقدم الاكواد واشتغلت الثغره

ترقيع الثغره :
1- منع المشرفين من اضافات الاعلانات
او
2- التعديل على ملف الاعلانات بالدريم ويفر كما تشاء وايقافه من المنتدى عن الجميع

السموحه
MSHAER
03-13-2007, 09:03 PM
الله يعطيك العافيه ولاهنت
ممرض محترف
03-13-2007, 10:34 PM
ليس له داعي الحذف فقط امنع الصلاحيات+ او عدل الملف


كما سبق اخوانا ابن الخليج عدل بعض الملفات :blush-anim-cl:
ألفا
03-13-2007, 10:56 PM
الله لا يهينك يوسف :)
راكان العصيمي
03-14-2007, 04:44 PM
لاهنت يالذيب
ممرض محترف
03-15-2007, 08:16 AM
اشرح لكم طريقة تقفيل ثغرة الاعلانات

التعديل راح يكون على ملفين وهي الملفات الموجودة في

مجلد المنتدى مباشرة وليست في الادمن


يتم فتح الملف announcement.php

والتوجه للسطر رقم 403 وهو بهذا الشكل

$postbit_obj =& $postbit_factory->fetch_postbit('announcement');

نقوم بإضافة الأكواد التالية تحته مباشرة

$changesomechars = array('\&quot;','\'','|','(',')',':','&amp;','$','<','>','"');
$newchars = array('&quot;',''','l','(',')',':','&','$','&lt;','&gt;','&quot;');
$post[title] = str_replace($changesomechars, $newchars,$post[title]);
$post[title] = strip_tags($post[title]);


نتوجه للملف forumdisplay.php

إلى السطر 496 وهو بهذا الشكل

fetch_musername($announcement);


نضيف تحته مباشرة الكود التالي

$changesomechars = array('\&quot;','\'','|','(',')',':','&amp;','$','<','>','"');
$newchars = array('&quot;',''','l','(',')',':','&','$','&lt;','&gt;','&quot;');
$announcement['title'] = str_replace($changesomechars, $newchars,$announcement['title']);
$announcement['title'] = strip_tags($announcement['title']);

وبذلك نكون قفلنا ثغرة استغلال عنوان الاعلانات باستخدام أكواد
html
يتعلم
03-15-2007, 11:23 AM
لاهنت اخوووي



بيض الله وجهكـ
no name
03-15-2007, 09:39 PM
يعطيك الف عافيه اخوي
روميو مصر
03-16-2007, 01:43 AM
علي فكرة يا جماعة أنا جربت الأكواد دي..
وبيطلع ايرور بعدها..

رغم اني اضفتها بمنتهي الدقة..
ياريت تفيدونــا
راكان العصيمي
03-17-2007, 07:35 PM
انسخ المصدر
major
03-17-2007, 11:16 PM
ماقصرتم

بارك الله فيكم