ROZWIĄZANY: Załadowanie exploita php przez forum

[Szykra]

Witam,

wczoraj padłem ofiarą ataku - na forum został załadowany exploit. Udało mi się go znaleźć w katalogu IPB uploads/profile. Serwer pracuje pod kontrolą nginx, a forum to jedyne miejsce, gdzie można uploadować jakiekolwiek pliki...

http://screenshooter.net/3814246/fcqyund

Jakim cudem atakujący zdołał przesłać ten plik na serwer? Jak to naprawić?

Pozdrawiam.

[DawPi]

Jaka wersja forum?

Skąd wiesz, że załadowano go przez zwykły formularz uploadu, a nie inną dziurę na Twoim serwerze?

Pisałeś do IPSu, by to sprawdził?

[Szykra]

Jaka wersja forum?

Skąd wiesz, że załadowano go przez zwykły formularz uploadu, a nie inną dziurę na Twoim serwerze?

Pisałeś do IPSu, by to sprawdził?

3.3.0

Pierwsze podejrzenie padło na forum ze względu na fakt, że plik znajduje się w katalogu gdzie użytkownicy wrzucają swoje zdjęcia. Mam na serwerze jeszcze 2 strony, lecz są one dość proste i nie posiadają możliwości wysyłania plików na serwer w postaci żadnych załączników, avatarów czy czegokolwiek innego.

Jeszcze nie pisałem, najpierw przyszedłem tutaj.

[DawPi]

Kwestia tego, jakie masz chmody na ten folder. Możesz też dodać do niego plik .htaccess z takim oto kodem:

#<ipb-protection>
<Files ~ "^.*\.(php|cgi|pl|php3|php4|php5|php6|phtml|shtml)">
   Order allow,deny
   Deny from all
</Files>
#</ipb-protection>

[Portek]

Przez IPB nie da się przepchnąć w załączniku expliota. Wiem, bo sam miałem taką sytuację, każdy załącznik opatrzony jest rozszerzeniem "*.ipb", więc nie ma możliwości go też wykonać.

[DawPi]

Przez IPB nie da się przepchnąć w załączniku expliota. Wiem, bo sam miałem taką sytuację, każdy załącznik opatrzony jest rozszerzeniem "*.ipb", więc nie ma możliwości go też wykonać.

Zdjęcia profilowe już nie.

[Portek]

No tak, tyle że zdjęcia profilowe to nie *.php, a *.png czy *.img, każda próba przepchnięcia php'a opatrzona jest komunikatem "Błędny format grafiki".

[Szykra]

Exploit został załadowany przez avatar jako obrazek z wykorzystaniem luki w nginx - http://www.webhostingtalk.com/showthread.php?p=6807475#post6807475

Po części moja wina, po konsultacji z supportem dowiedziałem się, że od wersji 3.3.1 jest już to poprawione od strony forum.

Temat do zamknięcia a każdemu kto korzysta z nginx zalecam załatanie tej luki.

Pozdrawiam.

[Jakub]

Problem ROZWIĄZANY. Jeśli są jakiekolwiek wątpliwości, pytania proszę o założenie nowego tematu.

Wszelkie uzasadnione reklamacje/pretensje/sugestie/rady przyjmuje ekipa forum.