[Help] Giúp mình với ! - Cách test lỗi shell forum [Lưu Trữ] - ITVNN FORUM

hau_ooo

29-09-2010, 01:36 PM

các bạn cho mình hỏi cách để test lỗi của forum !! forum mình bị 1 bạn tim lỗi shell gì gì đấy xong lập nhiều nick giống nhau !! - ( không phải lập nick có dấu bằng Unikey ) ai giúp mình với nhé !! thanks

2. Mô tả kỹ thuật
Lỗ hổng được phát hiện nằm trong chức năng đăng ký thành viên của diễn đàn.
Thông thường thì forum VBB có chức năng kiểm tra và không cho phép đăng ký 2 thành viên có trùng tên. Tuy nhiên, khi một account mới được đăng ký có tên là tên của một account đã có trước đó (VD: admin) cộng thêm với kí tự: &#00 (admin&#00), quá trình kiểm tra sẽ cho thấy đây là 2 account khác nhau, nhưng thao tác xử lý dữ liệu tiếp theo trước khi lưu account mới vào database của VBB sẽ xóa 3 kí tự “&#00” làm cho account có tên trùng với account đã có.

Điều này không chỉ gây ra nhầm lẫn mà hơn thế sự nhập nhằng này làm cho chức năng của gửi private message sẽ hoạt động sai dẫn tới các message gửi đến cho account cũ sẽ được gửi tới cho account trùng tên được đăng ký sau.
3. Cập nhật bản vá

Đánh giá đây là lỗ hổng nghiệm trọng, Bkis khuyến cáo những cá nhân, tổ chức sử dụng vBulletin phiên bản 3.8.4 và 3.8.5 nhanh chóng vá lỗ hổng này theo một trong hai phương pháp sau:
Phương pháp 1:
1. Đăng nhập vào admincp.
2. Chọn chức năng censorship Option.
3. Thêm &# vào phần Censored Words section
4. Chọn Save.

Phương pháp 2:
Nâng cấp lên diễn đàn lên các phiên bản mới hơn (>3.8.5)

http://bkav.com.vn/virus_spyware_rootkit_security/lo-hong-trong-phan-mem-vbulletin-384-va-385-3053/