Ilegaler Zutritt zum FTP über Datei-Upload-Funktion

[msycho]

Also an der dem Server liegt es nicht. Habe es auf verschiedenen Servern getestet.

Es gibt zwar laut Versionsbeschreibung eine "neuere" Version, aber das hilft reichlich wenig. Das CMS ist seitens der offiziellen Entwicklern tot. Es lebt von seinen Usern. Doch das hat hiermit nichts zu tun.

Ein include findet nicht statt. Hab ich ja bereits nachgeschaut und auch gepostet. Die Datei wird direkt aufgerufen und geparsed. Die Eintragungen, die du nanntest, Dr.Dau, sind nirgendwo anzutreffen.
Meiner Meinung muss die Lücke im CMS sein. Die Frage ist halt nur wo.

 

[Sven Mintel]

Auf interne includes seitens des Kit bin ich in der access.log nicht gestoßen.

Wenn du damit das Server-Log meinst, da wirst du soetwas auch nicht finden, da dort nur HTTP-Anfragen geloggt werden, interne inludes sind aber keine HTTP-Anfragen.

 

[msycho]

Aua! Danke. Wo kann man dann solche interne includes finden, wenn man sie überhaupt loggt, bitte?

 

[Sven Mintel]

Wenn das nicht übers CMS irgendwie mitgeloggt wird, lässt sich das überhaupt nicht herausbekommen

Welche Version läuft denn bei dir, dann könnte man das mal daheim testen?

 

[msycho]

Bei mir läuft die Version 1.6.03.
Was hast Du vor?

 

[Sven Mintel]

Naja...installieren und nachgucken, wo der hase im pfeffer liegt

 

[msycho]

Dank Dir für die Hilfe. Mal schauen was du rausbekommst.

 

[Sven Mintel]

Es ist schon hahnebüchen, aber über die include.php kann man wirklich beliebige Dateien über den Pfad includen...also auch aus dem Downloadverzeichnis.

Workaround:

if(isset($_REQUEST['path']) && preg_match('|/download/|',$_REQUEST['path']))die('pöhser pup');

 

[msycho]

Hm, und wie soll man dem vorbeugen, bitte?

Gegen das includen hilft doch der Hack schon Abhilfe, oder?

 

[-GS-Master]

Stylisch -.- Jetzt wäre mir noch ein rätzel was du/ihr macht, wenn der einfach eine PHP-Datei hochladen würde ^^

Oder kannst du diese nicht hochladen lassen

P.S.: finds ja immer wieder geil wie bestimmte Lücken ausgenutzt werden könne -.- zumindest wenn es bei mir nicht der Fall ist