MyBB Depo Forum
MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ. - Baskı Önizleme

+- MyBB Depo Forum (https://mybbdepo.com)
+-- Forum: MyBBDepo (https://mybbdepo.com/mybbdepo-forumu)
+--- Forum: Çöp Deposu (https://mybbdepo.com/cop-deposu-forumu)
+--- Konu Başlığı: MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ. (/mybb-1-8-1-xss-acigi-bildirimi-konusu.html)

Sayfalar: 1 2


MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ. - Hashtag - 10-11-2014

ARKADAŞLAR YENİ FORUM KURDUM LOCALHOST DA VE XSS AÇIĞI VAR.

KENDİME SİTE AÇMAYI DÜŞÜNÜYORDUM AMA BU AÇIĞI GÖRDÜM.. BU AÇIK NASIL KAPATILIR ?

İSTERSENİZ SİZDE TEST EDİN:

Kod:
http://siteadresiniz.com/newreply.php?my_post_key=&subject=BADESHAN - HASHTAG XSS REPORT&action=do_newreply&posthash=%22%3E%3Cscript%3Ealert%28/XSS/%29%3C/script%3E&quoted_ids=&lastpid=1&from_page=1&tid=1&method=quickreply&message=BADESHAN.COM / HASHTAG&previewpost=Preview%20Post

filtre örneği:

Kod:
http://badeshan.com/newreply.php?my_post_key=&subject=BADESHAN - HASHTAG XSS REPORT&action=do_newreply&posthash=%22%3E%3Cscript%3Ealert%28/XSS/%29%3C/script%3E&quoted_ids=&lastpid=1&from_page=1&tid=1&method=quickreply&message=BADESHAN.COM / HASHTAG&previewpost=Preview%20Post

bu açığı kapatmanın yolu nedir ? bazı siteler kapatmış.

ayrıca bu açığı olan siteler sitelerindeki:

Kod:
http://siteadi.com/report.php
girdiklerinde:


Raporu Gönder
Bu İçeriği Yöneticilere Rapor Et
Bu içerik ya mevcut değil ya da rapor edilmesi mümkün değil.

yazısı geliyor.

tamamen bu açık kapatılmış sitelerde: Belirtilen Yorum Forumumuzda Mevcut Değil.

yazıyor.

Yani siteadi.com/report.php girildiğinde:
Kod:
Raporu Gönder
Bu İçeriği Yöneticilere Rapor Et
Bu içerik ya mevcut değil ya da rapor edilmesi mümkün değil.
yazıyorsa xss var,

Kod:
Belirtilen Yorum Forumumuzda Mevcut Değil.
yazıyorsa xss yok.

nasıl kapatabilirim şimdiden yardımnız için teşekkürler.


Cvp: MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ. - BozKURTR - 10-11-2014

Güncelleme paketini kurun.


Cvp: MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ. - -Andromeda- - 10-11-2014

güncelleme ile olacağını sanmam bende de 1.8.1 var 0 kurulum aynısı benim demo sitede de var


Cvp: MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ. - TheExpert - 10-11-2014

MyBB Ekibine rapor ettin mi peki?
Ve senin verdiğin linki benim sitede deneyince tema beyaz halde bozuluyor.


Cvp: MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ. - ozanakkaya - 11-11-2014

Bahsi geçen mevzu community'de de var.

http://community.mybb.com/report.php


Cvp: MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ. - trafikci258 - 11-11-2014

kısaca her mybb son sürüm kullananlarda var bu hata peki nasıl aşılır bu sorun??


Cvp: MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ. - -Andromeda- - 11-11-2014

cidden kapatma yolunu bilen yok mu ? :/


Cvp: MYBB 1.8.1 XSS AÇIĞI BİLDİRİMİ. - Machine - 11-11-2014

Merhaba,

Bahsi geçen XSS açığı, kapatıldı arkadaşlar. Eğer kodları incelediyseniz eğer, tids=1 değerini görmektesiniz ve subject yazan kısımda ise yoruma ne yazılacağı belirtilmiş. Yani id 1 olan bir konu yok ise kod fıstır veya istediğiniz kadar id yazın oraya eğer mybb güvenlik önlemlerinden id tagını kaldırmayı ve seo kurulumunu yaptıysanız kod boşa çıkacaktır.

1 - Sitenize üye olmayan birisi bu sözde açıktan sisteme giremez, mybb'nin giriş yap hatasını alır.

2- Sisteme üye oldu, bu sadece yorum yapar arkadaşlar başka birşey yapmaz sisteminizde.

XSS 'den birinin sisteme girebilmesi için html izninin verilmiş olması gerekir. %90'nızın forumundada html izni kapalı geliyor ve hatta 1.8 sürümünde filtre sistemi getirilerek xss açığını yine duvara toslamasını sağlanmıştır.

Spam sistemi ve filtreleme sistemi çok daha detaylandırıldı artık mybb'de öyle ufak kod ile hacklenebilecek bir sistem değil artık mybb. Siz sunucunuzdan korkun sisteminizden değil. Eğer sunucunuzda açık var ise çok rahat sisteminize gireceklerdir ama sunucunuz sağlamsa ve mybb'nin gerekli güvenlik önlemlerini aldıysanız sıkıntı yok devam edin.


Ayrıca,

Raporu Gönder
Bu İçeriği Yöneticilere Rapor Et
Bu içerik ya mevcut değil ya da rapor edilmesi mümkün değil.

bu hatayı vermesinin sebebi şablonlara bağlı olmasından kaynakldıır. Report.php dosyası şablonlarla çalışmaktadır yani şablonsuz açarsanız boş yazıdan başka birşey değildir. Bir konuya girip rapor et dediğiniz popup olarak bu seçenekler çıkacaktır ve rapor edeceğiniz mesaj yok ise bu içerik mevcut değildir diyecektir.

Eğer var ise rapor nedenini soracaktır. Siz report.php dosyasına hiçbir yorum id ve url'si bildirmezsiniz haliyle sistem diyecek ki böyle bir konu yok arkadaşım ne yapmamı bekliyorsun diyecektir size bu bir açık değildir,sistemin getirdiği sorgudur.

(10-11-2014, Saat:13:47)Hashtag Adlı Kullanıcıdan Alıntı: Yani siteadi.com/report.php girildiğinde:
Kod:
Raporu Gönder
Bu İçeriği Yöneticilere Rapor Et
Bu içerik ya mevcut değil ya da rapor edilmesi mümkün değil.
yazıyorsa xss var,

Kod:
Belirtilen Yorum Forumumuzda Mevcut Değil.
yazıyorsa xss yok.

nasıl kapatabilirim şimdiden yardımnız için teşekkürler.

İki cümleye iyice bakın, aynı şeyi söylemektedeler. Bu içerik mevcut değil ! Göz kırpma Lütfen biraz mantık yürütün. 2 gün bu bahsi geçen açığı yokladım fakat elimde kalan sadece report.php dosyası oldu Açık Ağızlı Gülümseme

Bahsettiğiniz iki durum farklı olmasının sebebi çeviri değişikliğidir. Bir önceki sürümle bir sonra ki sürümde dil dosyaları haliyle değişmiştir. Farkettiyseniz biz 1.8 sürümünde A'dan Z'ye dil dosyalarını komple değiştirdik ve sağlam,düzgün bir Türkçe kullanımı yaptık.

#Ayrıca mybb.com ekibinide bu durumu bildirdim ve ilgileneceklerini söylediler. Kolay gelsin,iyi forumlar.