MyBBDepo - Türkiyenin MyBB Deposu Forumuna Hoşgeldiniz
Eğer sitemize yaptığınız ilk ziyaretiniz ise, lütfen öncelikle Forum Kurallarını okuyunuz. Forumumuzda bilgi alışverişinde bulunabilmeniz için Kayıt olmalısınız. Üye olmayanlar forumumuzdan yararlanamazlar.
Eğer zaten kayıtlı kullanıcı iseniz, lütfen kullanıcı adınız ve şifreniz ile, Giriş yapınız. (Sitemize üyelik ücretsizdir).
Hashtag avatar
Konuyu Oyla:
  • Derecelendirme: 0/5 - 0 oy
  • 1
  • 2
  • 3
  • 4
  • 5

Derecelendirme: 0/5 - 0 oy

MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ.


Sponsor Reklam

Çevrimdışı Hashtag
 Tarih: 10-11-2014, Saat:13:47
#1
ARKADAŞLAR YENİ FORUM KURDUM LOCALHOST DA VE XSS AÇIĞI VAR.

KENDİME SİTE AÇMAYI DÜŞÜNÜYORDUM AMA BU AÇIĞI GÖRDÜM.. BU AÇIK NASIL KAPATILIR ?

İSTERSENİZ SİZDE TEST EDİN:

Kod:
http://siteadresiniz.com/newreply.php?my_post_key=&subject=BADESHAN - HASHTAG XSS REPORT&action=do_newreply&posthash=%22%3E%3Cscript%3Ealert%28/XSS/%29%3C/script%3E&quoted_ids=&lastpid=1&from_page=1&tid=1&method=quickreply&message=BADESHAN.COM / HASHTAG&previewpost=Preview%20Post

filtre örneği:

Kod:
http://badeshan.com/newreply.php?my_post_key=&subject=BADESHAN - HASHTAG XSS REPORT&action=do_newreply&posthash=%22%3E%3Cscript%3Ealert%28/XSS/%29%3C/script%3E&quoted_ids=&lastpid=1&from_page=1&tid=1&method=quickreply&message=BADESHAN.COM / HASHTAG&previewpost=Preview%20Post

bu açığı kapatmanın yolu nedir ? bazı siteler kapatmış.

ayrıca bu açığı olan siteler sitelerindeki:

Kod:
http://siteadi.com/report.php
girdiklerinde:


Raporu Gönder
Bu İçeriği Yöneticilere Rapor Et
Bu içerik ya mevcut değil ya da rapor edilmesi mümkün değil.

yazısı geliyor.

tamamen bu açık kapatılmış sitelerde: Belirtilen Yorum Forumumuzda Mevcut Değil.

yazıyor.

Yani siteadi.com/report.php girildiğinde:
Kod:
Raporu Gönder
Bu İçeriği Yöneticilere Rapor Et
Bu içerik ya mevcut değil ya da rapor edilmesi mümkün değil.
yazıyorsa xss var,

Kod:
Belirtilen Yorum Forumumuzda Mevcut Değil.
yazıyorsa xss yok.

nasıl kapatabilirim şimdiden yardımnız için teşekkürler.
Bunu Beğenenler:
Sponsor Reklam
Sponsor Reklam Sponsor Reklam

Çevrimdışı BozKURTR
 Tarih: 10-11-2014, Saat:18:40
#2
Güncelleme paketini kurun.
Bunu Beğenenler:

Çevrimdışı -Andromeda-
 Tarih: 10-11-2014, Saat:18:59
#3
güncelleme ile olacağını sanmam bende de 1.8.1 var 0 kurulum aynısı benim demo sitede de var
Bunu Beğenenler:

Çevrimdışı TheExpert
 Tarih: 10-11-2014, Saat:22:24
#4
MyBB Ekibine rapor ettin mi peki?
Ve senin verdiğin linki benim sitede deneyince tema beyaz halde bozuluyor.
Bunu Beğenenler:

Çevrimdışı ozanakkaya
 Tarih: 11-11-2014, Saat:04:26
#5
Bahsi geçen mevzu community'de de var.

http://community.mybb.com/report.php
Bunu Beğenenler:

Çevrimdışı trafikci258
 Tarih: 11-11-2014, Saat:09:09
#6
kısaca her mybb son sürüm kullananlarda var bu hata peki nasıl aşılır bu sorun??
Bunu Beğenenler:

Çevrimdışı -Andromeda-
 Tarih: 11-11-2014, Saat:16:50
#7
cidden kapatma yolunu bilen yok mu ? :/
Bunu Beğenenler:

Çevrimdışı Machine
 Tarih: 11-11-2014, Saat:18:51
(Son Düzenleme: 11-11-2014, Saat:18:55, Düzenleyen: Machine.)
#8
Merhaba,

Bahsi geçen XSS açığı, kapatıldı arkadaşlar. Eğer kodları incelediyseniz eğer, tids=1 değerini görmektesiniz ve subject yazan kısımda ise yoruma ne yazılacağı belirtilmiş. Yani id 1 olan bir konu yok ise kod fıstır veya istediğiniz kadar id yazın oraya eğer mybb güvenlik önlemlerinden id tagını kaldırmayı ve seo kurulumunu yaptıysanız kod boşa çıkacaktır.

1 - Sitenize üye olmayan birisi bu sözde açıktan sisteme giremez, mybb'nin giriş yap hatasını alır.

2- Sisteme üye oldu, bu sadece yorum yapar arkadaşlar başka birşey yapmaz sisteminizde.

XSS 'den birinin sisteme girebilmesi için html izninin verilmiş olması gerekir. %90'nızın forumundada html izni kapalı geliyor ve hatta 1.8 sürümünde filtre sistemi getirilerek xss açığını yine duvara toslamasını sağlanmıştır.

Spam sistemi ve filtreleme sistemi çok daha detaylandırıldı artık mybb'de öyle ufak kod ile hacklenebilecek bir sistem değil artık mybb. Siz sunucunuzdan korkun sisteminizden değil. Eğer sunucunuzda açık var ise çok rahat sisteminize gireceklerdir ama sunucunuz sağlamsa ve mybb'nin gerekli güvenlik önlemlerini aldıysanız sıkıntı yok devam edin.


Ayrıca,

Raporu Gönder
Bu İçeriği Yöneticilere Rapor Et
Bu içerik ya mevcut değil ya da rapor edilmesi mümkün değil.

bu hatayı vermesinin sebebi şablonlara bağlı olmasından kaynakldıır. Report.php dosyası şablonlarla çalışmaktadır yani şablonsuz açarsanız boş yazıdan başka birşey değildir. Bir konuya girip rapor et dediğiniz popup olarak bu seçenekler çıkacaktır ve rapor edeceğiniz mesaj yok ise bu içerik mevcut değildir diyecektir.

Eğer var ise rapor nedenini soracaktır. Siz report.php dosyasına hiçbir yorum id ve url'si bildirmezsiniz haliyle sistem diyecek ki böyle bir konu yok arkadaşım ne yapmamı bekliyorsun diyecektir size bu bir açık değildir,sistemin getirdiği sorgudur.

(10-11-2014, Saat:13:47)Hashtag Adlı Kullanıcıdan Alıntı: Yani siteadi.com/report.php girildiğinde:
Kod:
Raporu Gönder
Bu İçeriği Yöneticilere Rapor Et
Bu içerik ya mevcut değil ya da rapor edilmesi mümkün değil.
yazıyorsa xss var,

Kod:
Belirtilen Yorum Forumumuzda Mevcut Değil.
yazıyorsa xss yok.

nasıl kapatabilirim şimdiden yardımnız için teşekkürler.

İki cümleye iyice bakın, aynı şeyi söylemektedeler. Bu içerik mevcut değil ! Göz kırpma Lütfen biraz mantık yürütün. 2 gün bu bahsi geçen açığı yokladım fakat elimde kalan sadece report.php dosyası oldu Açık Ağızlı Gülümseme

Bahsettiğiniz iki durum farklı olmasının sebebi çeviri değişikliğidir. Bir önceki sürümle bir sonra ki sürümde dil dosyaları haliyle değişmiştir. Farkettiyseniz biz 1.8 sürümünde A'dan Z'ye dil dosyalarını komple değiştirdik ve sağlam,düzgün bir Türkçe kullanımı yaptık.

#Ayrıca mybb.com ekibinide bu durumu bildirdim ve ilgileneceklerini söylediler. Kolay gelsin,iyi forumlar.
Bunu Beğenenler: tR0j3n , trafikci258 , xpserkan , -Andromeda- , 1st4n6uL

 


Konu ile Alakalı Benzer Konular
Konular Yazar Yorumlar Okunma Son Yorum
Onay [1.8] Mybb webseyrek Teması 1.8x Türkçe webseyrek 1 237 20-04-2018, Saat:19:47
Son Yorum: Machine
  Mybb sitemde Hata camoka1903 3 932 05-02-2017, Saat:14:36
Son Yorum: EmreKarakaya
  MyBB Bakım & Optimizasyon, Full Kurulum Hizmetleri + Para İadeli Phoenix 1 970 23-01-2017, Saat:21:57
Son Yorum: S.G
  Mybb Arka Plan Rengi cihateren 9 2,018 16-10-2016, Saat:03:35
Son Yorum: Kiliza
  Mybb İnferno Shoutbox Loading Sorunu VenomBoss 5 1,540 15-09-2016, Saat:14:41
Son Yorum: EmreKarakaya



Konuyu Okuyanlar: 2 Ziyaretçi