Suche

[FrankP]

Moin,

einer unserer Kunden wurde erfolgreich über die Datei smileyupload.php des SPChat, der als Modul in einem pragmamx installiert ist, angegriffen. Die Datei, die uns vorliegt, läßt den upload jeglicher Dateien ohne Überprüfung zu. Im Prinzip wäre das ein offener Web-FTP-Client, über den jeder alles hochladen kann. 

Interessant wäre natürlich, ob diese Funktion verheerender Weise so im SPChat Standard ist, oder ob dies eine individuell (äußerst schlecht) angepaßte Version des SPChat ist. Ich rege deshalb an, diese Datei hinsichtlich dieser Funktion zu überprüfen, so dieser Chat bei euch eingesetzt wird. Oder ist diese Sicherhitslücke bereits bekannt?

In diesem Zusammehang möchte ich nochmals auf folgendes hinweisen: In diesem Fall konnte sich der Schadcode ungehindert im Web ausbreiten, weil alles Mögliche auf chmod 777 gesetzt war. Diese Rechte sollten nur dann gesetzt werden, wenn es unbedingt nötig ist. 755 bzw. 644 sollten meist ausreichen, je nach Serverkonfiguration. Wäre das z.B. in diesem aktuellen Fall so gemacht worden, wäre der Schadcode zwar upgeloadet worden aber wäre nicht ausführbar gewesen.

[Smiley]

Hallo

Wie bereits hier beschrieben http://www.pragmamx.org/Forum-topic-31520.html habe ich es mal getestet, da ich den SPChat bei mir laufen habe.
Fehler konnte ich nachvollziehen. Deshalb habe ich den Chat gerade entfernt. Außerden bläht dieser Char die Datenbank nur unnötig auf.
Herzlichen Dank für die Info.


LG

Smiley

[Andi]

Moin

Der spChat ist schon so alt, dass ich das Script bei mir schon garnicht mehr auf der Harddisk gefunden habe.
Nach längerem Stöbern durch versch. Nuke Downloadportale bin ich bei warpspeed fündig geworden und habe 2 Versionen runtergeladen u. angesehen, SPChat-0.6.1b und spchat-0.8.1.7-phpnuke.
Meines Wissens gab es auch mal irgendwo eine spezielle pragmaMx Version, aber die kann ich nirgends auftreiben....

In beiden gefundenen Versionen ist eine smileyupload.php enthalten, die einen rudimentären check des Mime-Types enthalten. Eigentlich sollte da nur image/gif hochgeladen werden können. Beim ersten Überblick des Codes hege ich aber starke Zweifel ob das so funktioniert.

Für einen weiteren Test habe ich nicht die Musse, denn das Script lässt sich hier zwar lokal installieren, aber ein Arbeiten damit ist aufgrund meiner recht eingeschränkten und minimalistischen PHP-Einstellungen (register_globals, error_reporting, short-opentags, etc.)  unmöglich. Und meinen Localhost möchte ich jetzt nicht extra umkonfigurieren.
Ich empfehle: komplett löschen und darauf verzichten.

Der Code ist dermassen veraltet, so dass mit Sicherheit noch viel mehr Sicherheitslücken existieren. Zu der Zeit als das Script gebaut wurde war es sicher auf dem Stand der (Sicherheits)Technik, aber heute ist es eine Gefährdung für den Server, wie das aktuelle Beispiel ja zeigt. Wir hatten den Chat hier früher auch empfohlen.

Apropo..., Neben der besagten smileyupload.php existiert zumindest in einer meiner Versionen noch eine soundupload.php, mit der der gleiche Unfug angestellt werden kann.


An dieser Stelle gleich wieder eine Warnung und Ermahnung:
Installiert Euch nicht jeden Krams, nur weil es chick ist und einigermassen in eurem pragmaMx läuft....

Nur Module etc., die in UNSEREN Downloads freigeschaltet sind, sind auch von uns zumindest groob durchgecheckt, ob offensichtliche Sicherheitsmängel existieren. Solch ein gravierender Fehler, wie jetzt im spChat, wäre uns aufgefallen und wir hätten das nicht freigeschaltet.
Das schliesst natürlich nie aus, dass in einem Download von unserer Seite nicht auch einmal ein Sicherheitsleck entdeckt wird, davor ist Niemand gefeit, 100% sicheren Code gibt es nicht. Aber die Chance sich hier etwas einzufangen ist zumindest etwas reduziert.



@ Smiley & Frank:
Könnt ihr mir mal bitte eure Version der smileyupload.php (oder den ganzen chat) zukommen lassen?

[Andi]

Moin

die Dateien, die mir Frank und Georg zugeschickt haben, entsprechen grundlegend denen, die ich auch hier habe...

Das heisst, der Check auf den korrekten Mime-Typ, der hochgeladenen Datei, funktioniert nicht!
Das heisst weiterhin: löschen, am besten das ganze Modul!