1. Главная
  2. Форумы
  3. Техподдержка Drupal
  4. Безопасность

Уязвимости кривого апдейта 6.16

Главные вкладки

Аватар пользователя mak-vardugin mak-vardugin 16 марта 2010 в 1:46

Провел тест уязвимостей хорошо обновленного и плохо обновленного сайтов (с 6.15 до 6.16) сканером XSpider 7.7 Build 3253, результат приводить не буду. Но те кто плохо обновился рискуют остаться без сайта. Прога выявляет 2 возможности для SQL инъекций. Так что обновляйтесь внимательно.

Комментарии

Аватар пользователя mak-vardugin mak-vardugin 16 марта 2010 в 2:02

search_theme_form=1&op=РџРѕРёСЃРє&form_build_id=form%2D30a1f61ffeceda6dc3b2beda526f6ade&form_id=search%5Ftheme%5Fform'
и
search_theme_form=1&op=РџРѕРёСЃРє&form_build_id=X%20S&form_id=search%5Ftheme%5Fform

обе из-за
<...>
rupal.semaphore' doesn't exist
query: SELECT expire, value FROM semaphore WHERE name = 'locale_cache_ru' in /www/****/www/htdocs/includes/lock.inc on line 154.

  • user warning: Table 'ww********drupal.semaphore' doesn't exist
    query:
    <...>
    • Аватар пользователя axel axel 16 марта 2010 в 11:30

    mak-vardugin wrote:

    drupal.semaphore' doesn't exist
    query: SELECT expire, value FROM semaphore WHERE name = 'locale_cache_ru' in /www/****/www/htdocs/includes/lock.inc
    Так update.php после апдейта исполнялось, где эта таблица создается? Если нет, то какие претензии к процедуре апдейта?

    Аватар пользователя ihappy ihappy 16 марта 2010 в 4:15

    "mak-vardugin" wrote:
    какого рода? что машинка дала то и скопировал.

    так а ты проверял? машинка много чего выдать может.
    "mak-vardugin" wrote:
    для когото и index.php?act=../../../../../etc/passwd/////[…]/////

    ну это не про друпал

    Аватар пользователя mak-vardugin mak-vardugin 16 марта 2010 в 21:53

    Учитесь читать то что написано, а не то что вам мерещиться!

    Вы чего топик вообще не читали, я привел пример что те кто криво обновился, добавляют себе глюк на сайте, и брешь в защите по версии сканера безопасности.

    Аватар пользователя mak-vardugin mak-vardugin 16 марта 2010 в 22:23

    RxB, коллега не занудствуйте, вам это не идет : )
    Просто после того как прочитал, как пытаются обойти последствия своего же кривого обновления решил потестить последствия и решил поделиться результатами.... чувствуется зря.

    Аватар пользователя ihappy ihappy 17 марта 2010 в 1:07

    "mak-vardugin" wrote:
    Учитесь читать то что написано, а не то что вам мерещиться!

    читаем заголовок
    "mak-vardugin" wrote:
    Уязвимости кривого апдейта 6.16

    ммм что видим? Что апдейт 6.16 кривой и уязвимый! а текст сообщения ясности вообще не вносит.
    либо учимся писать, либо не учи читать других.
    а название топика тогда должно быть
    "mak-vardugin" wrote:
    Уязвимости при кривом апдейте 6.16

    хотя в тексте топика про уязвимости и слова нету. так можно писать про любой выпуск любой программы. ведь дыры есть везде, как мы знаем.

    Аватар пользователя xxandeadxx xxandeadxx 17 марта 2010 в 1:40

    нет никакой уязвимости, xSpider встретил системное сообщение друпала об отсутствующей таблице semaphore и принял его за SQL инъекцию