Sicherheitslücke in php 2.0.10

[MaxP0W3R]

Hi

Frage: Wie kann folgender Code denn zur Sicherheitslücke werden ?

Open viewtopic.php in any text editor. Find the following section of code:
Code:

//
// Was a highlight request part of the URI?
//
$highlight_match = $highlight = '';
if (isset($HTTP_GET_VARS['highlight']))
{
   // Split words and phrases
   $words = explode(' ', trim(htmlspecialchars(urldecode($HTTP_GET_VARS['highlight']))));

   for($i = 0; $i < sizeof($words); $i++)
   { 

and replace with:
Code:

//
// Was a highlight request part of the URI?
//
$highlight_match = $highlight = '';
if (isset($HTTP_GET_VARS['highlight']))
{
   // Split words and phrases
   $words = explode(' ', trim(htmlspecialchars($HTTP_GET_VARS['highlight'])));

   for($i = 0; $i < sizeof($words); $i++)
   { 

[Abraxax]

OffTopic:

---

Sicherheitslücke in php 2.0.10

ich würde empfehlen eine aktuelle(re) version zu installieren?

---

[TBT]

ich denke, dies ist die Stelle den Bug zu beheben, nicht die wo er zur Sicherhaitslücke wird.
Wie geht denn der Code dort weiter?

Wahrscheinlich ist das Loch dann nach dem replacen vorhanden

[MaxP0W3R]

Original geschrieben von Abraxax

OffTopic:

---

ich würde empfehlen eine aktuelle(re) version zu installieren?

---

wow, darauf wär ich nie im leben gekommen

[goth]

Wobei es sich wohl weniger um php 2.0.10 als vielmehr um phpBB2 handeln dürfte ... dort ist ein exploid für angegebene Codes herausgegeben worden ... !

[MaxP0W3R]

ups

es handelt sich natürlich um das phpBB 2.0.10

argh


als ob ich in php 2 proggen würde LOL

cya max

[schlimmerfinger]

Das sicherheitsloch verstehe ich aber auch nicht so ganz...?

[goth]

Manchmal liegt das risiko auch nicht im gezeigten quellcode ... sondern in dem was hernach passiert ...

[schlimmerfinger]

Original geschrieben von goth
Manchmal liegt das risiko auch nicht im gezeigten quellcode ... sondern in dem was hernach passiert ...

hier die schon die gefixte version. 2.0.11

//
// Was a highlight request part of the URI?
//
$highlight_match = $highlight = '';
if (isset($HTTP_GET_VARS['highlight']))
{
    // Split words and phrases
    $words = explode(' ', trim(htmlspecialchars($HTTP_GET_VARS['highlight'])));

    for($i = 0; $i < sizeof($words); $i++)
    {
        if (trim($words[$i]) != '')
        {
            $highlight_match .= (($highlight_match != '') ? '|' : '') . str_replace('*', '\w*', phpbb_preg_quote($words[$i], '#'));
        }
    }
    unset($words);

    $highlight = urlencode($HTTP_GET_VARS['highlight']);
} 

Ich kann aber immer noch nichts erkennen. Bin zu engstirnig...

[ghostgambler]

Original geschrieben von schlimmerfinger

phpbb_preg_quote($words[$i], '#')); 

Und was macht die Funktion mit der Variablen? Vielleicht passiert da was drin, was schaden kann...

[schlimmerfinger]

Original geschrieben von ghostgambler
Und was macht die Funktion mit der Variablen? Vielleicht passiert da was drin, was schaden kann...

function phpbb_preg_quote($str, $delimiter)
{
    $text = preg_quote($str);
    $text = str_replace($delimiter, '\\' . $delimiter, $text);
    
    return $text;
} 

http://lists.phpbar.de/pipermail/php...22/014285.html
Also ich kann momentan nichts erkennen...!? Wenn jemand erkannt hat kann ja
bescheid sagen. Dafür bin ich aber auf eine sehr interessante Seite gestossen.

cheers

[MaxP0W3R]

Also ... das eigentlich Problem ist diese urlencode funktion in php da diese
in der url ein %2527 in ein ' umwandelt.. und dass ohne ein \ davorzustellen!

[ghostgambler]

Original geschrieben von MaxP0W3R
Also ... das eigentlich Problem ist diese urlencode funktion in php da diese
in der url ein %2527 in ein ' umwandelt.. und dass ohne ein \ davorzustellen!

Super, nur das ' stört da nicht, weil es nur in Text-Funktionen eingespeist wird, nicht jedoch in eine die was ausführt, außerdem nicht in eine SQL-Anweisung oder ähnliches.....oder das kommt erst weiter unten (wovon ich bei einem Highlight eigentlich nicht ausgehe......)

[ghostgambler]

Original geschrieben von schlimmerfinger

$text = str_replace($delimiter, '\\' . $delimiter, $text); 

Ach da sind ja zwei \...ich hab mich grad gefragt, warum da nichts steht......

Naja, ist es nicht möglich das per preg_match ausgeführte, innerhalb gleich wieder per Funktion auszuführen oder so? Ich hab das bis jetzt einmal genutzt, wer wirklich interessiert ist kann sich dazu ja mal die Manual durchlesen, aber irgendwie ist es möglich in dem String eine Funktion einzubauen, die dann da auch ausgeführt wird.
Vielleicht war es dann möglich mit der Hilfe der URL da ein eval + entsprechenden Code reinzusetzen *schulter zuck* (so interessiert bin ich an dem Sicherheitsloch nun auch wieder nicht XD")

[MaxP0W3R]

es is irgendwie möglich die index.php auszutauschen

ka wie

müsste mich dann erst einlesen

vieleicht heute mittag

muss jetzt erst mal zur post

cya max