Tarih: 2006-06-04, 18:37:51 Mesaj konusu: 'register globals' = On açığı nasıl kapatılır?
PHP-Nuke/phpBB2 Portal Checker Version 2.0 (CastleCops(sm)) adında bir analyze.php dosyası indirdim.
analiz sonucunda şu çıktı.
WARNING! Vulnerable PHP Setting On Your Server!
register_globals >> On
Reason For Vulnerability:
This PHP setting of 'register_globals' = On leaves an open gap for attackers to manipulate your portal. Highly recommended to disable this. However, disabling it does not remove the possibility of being hacked. For details read this and decide: http://php.net/register_globals.
Bu açığı nasıl kapatabilirim? Baya da yüksek risk düzeyinde gösteriyor.
kullanmasına kullanırsın da, sürekli $_GET falan yazman gerekir, ama oturup hepsini düzenlersen güvenliği artırmış olursun, o zman atıyorum
admin.php?addauthor gibi adres bardab işlem yapamazlar
Kayıt: Jul 20, 2002 Mesajlar: 3836 Konum: Balıkesir
Tarih: 2006-06-05, 22:09:28 Mesaj konusu:
php.net diyor ki:
php.ini ayar dosyası içerisinde bulunan register_globals direktifi, POST ve GET metodu ile gönderilen değerleri, oturum, çerezler ve ortam değerlerini kendi isimleriyle tanımlanmış birer değişken olarak kullanılmasını sağlar.
Örneğin, dosya.php?degisken=1 olarak kullanım için açık olmalıdır.
Normal şartlar altında php.net bu değerinin kapalı durmasını istiyor. Ancak bazı scriptler off değerinde çalışmayacağından genelde on durumunda tutulur. Script sistemi doğal olarak bunun bir açık oluşturduğunu bildiği için öyle gösteriyor. Bu konuda Türkçe kaynak ararsan gnurturk ten Yüksel Kurtbaş ın güzel bir açıklaması var onu okuyabilirsiniz.
Aslına bakarsan ona bakana kadar o kadar açık var ki. Önce onlar kapatılmalı bence. php-nuke açıklarınızı kapattıysanız gerisini hosta bırakın. Birçok host bu değeri on olarak ayarlar. Bende on olarak kullanıyorum. Çünkü kullandığım bazı scriptler on olmasını gerektiriyor.
Kayıt: Mar 18, 2005 Mesajlar: 2176 Konum: istanbul-tokat
Tarih: 2006-06-06, 10:52:07 Mesaj konusu:
o arkadaşın dediğine göre post getlerde açık çıkıyor
nukescripts admini bob marion da get post ları kontrole almak için
nuke sentinel2.4.2 pl7 yi çıkarmış kendime yüklerken changes i okumuştum
tam anlatacaktım girdim siteye 2.4.2 pl8 çıkmış
2.4.2pl8 CHANGES (2006-06-05):
+ CRITICAL UPDATE: phpBB injection update.
+ Updated language file (Thanks to Raven).
phpbb deki açık kalkmış dil dosyası düzenlenmiş
sentinel de yazanlara göre post get i koruyormuş bu yeni sürümlerde
flood korumasıda çok sorunlu olduğu için kaldırılmış
buradan biraz daha site güvenliğinizi artırabilirsiniz
zaten scripting blocker da var
.php olarak bir dosya çağırdığında direk banlıyor orada yazan
include"$path/include.php";
buraya $path=http://xxx.com/xxx.php diyince bunu banlıyor zaten sentinel
mainfile den string lede yapabilirsiniz bu işlemi
Bu forumda yeni başlıklar açamazsınız Bu forumdaki başlıklara cevap veremezsiniz Bu forumdaki mesajlarınızı değiştiremezsiniz Bu forumdaki mesajlarınızı silemezsiniz Bu forumdaki anketlerde oy kullanamazsınız
Arama
Rütbeliler
Profil
Giriş
2.4.2 pl8 çıkmış
