Хак Защита от загрузки шеллов

[BKK]

Выкладываю свою наработку! Суть хака заключается в том,что злоумышленик получив доступ в админцентр,постарается разрешить загрузку php файлов, тем самым залить шелл на сайт.

Проблема решаема

Открываем engine/inc/files.php

Находим

$allowed_extensions = array ("gif", "jpg", "png", "jpe", "jpeg" );
$allowed_video = array ("avi", "mp4", "wmv", "mpg", "flv", "mp3", "swf", "m4v", "m4a", "mov", "3gp", "f4v" );
$allowed_files = explode( ',', strtolower( $config['files_type'] ) );
$img_result_th = "";
$img_result = "";

заменяем на

$allowed_extensions = array ("gif", "jpg", "png", "jpe", "jpeg" );
$allowed_video = array ("avi", "mp4", "wmv", "mpg", "flv", "mp3", "swf", "m4v", "m4a", "mov", "3gp", "f4v" );
$allow_conf = str_replace("php",md5(time() - rand(30,60)),strtolower( $config['files_type'] ));
$allowed_files = explode( ',', $allow_conf );
$img_result_th = "";
$img_result = "";

Как бы теперь, можно спать спокойно! Будьте бдительны
Новые дырки появляются часто, старайтесь быстро лататься

autor:kzpromo

 

[DrakonHaSh]

имело бы заодно смысл добавить вариант с .phtml

 

[BKK]

$allowed_extensions = array ("gif", "jpg", "png", "jpe", "jpeg" );
$allowed_video = array ("avi", "mp4", "wmv", "mpg", "flv", "mp3", "swf", "m4v", "m4a", "mov", "3gp", "f4v" );
$allow_conf = str_replace("php",md5(time() - rand(30,60)),strtolower( $config['files_type'] ));
$allow_conf = str_replace("phtml",md5(time() - rand(30,60)),$allow_conf);
$allowed_files = explode( ',', $allow_conf );
$img_result_th = "";
$img_result = "";

 

[ZCFD]

лично я не понял смысла этой затеи

пояснишь ?

 

[BKK]

лично я не понял смысла этой затеи

пояснишь ?

Поясняю!Данный хак запрещает загрузку php файлов, даже если разрешить загрузку php файлов из engine/data/config.php
Действующая защита в виде engine/uploads/files/.htaccess работает нестабильно, при желании можно обойти прописанные ограничения, удалив сам файл

Думаю все ясно расписал

 

[ZCFD]

правильные права на .htaccess и engine/uploads/files/ решат вопрос

 

[CheburatoR-all]

правильные права на .htaccess и engine/uploads/files/ решат вопрос

Тебе выше написали не решают и можно легко удалить .htaccess.

 

[ZCFD]

расскажи как ты собираешься удалять .htaccess с правами запрещающими запись ?

 

[zerg]

в случае если речь о впс или дедик то задача еще на порядок усложняется. удалить сможет только с рут правами и то если знать как.

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

 

[CheburatoR-all]

расскажи как ты собираешься удалять .htaccess с правами запрещающими запись ?

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

А если ты ограничиваешь доступ к папке полностью (не залить не чего), то это называется не защита, а тупо отключение. В таком случае лучше просто отключить проблему. Это как если бы к врачу пришел пациент с больной ногой, а ему врач взял ее и отхирачил. Зато больше не болит в том месте