Foro de elhacker.net

Estaba observando que SMF ya se actualizó a la versión 1.1.9 y me dió la curiosidad de buscar mas información del porqué lo hizo.

Buscando y buscando en simplemachines me di cuenta que esta actualización era por asuntos de seguridad asi que me puse a googlear y encontré esto -->
http://www.simplemachines.org/community/index.php?topic=309741.0
"Hacked: 1.1.8 attachments / avatars still has a vulnerability"

Lo que entendí hasta la primera página era que un atacante había subido un avatar con contenido php  :rolleyes: .. no se pero ultimamente las explotaciones de bugs en SMF se explotan con un archivo adjunto a un tema o subiendo un avatar ya que su contenido no se filtra.

También pude leer el post donde se explica un poco mejor lo de la actualización y se recomienda oficialmente deshabilitar tremporalmente la subida de archivos al servidor -->
http://www.simplemachines.org/community/index.php?topic=309717.0

• Se explota de la siguiente manera:

Se sube un avatar con comandos arbitrarios que puede ser una c99
Se ve la dirección index.php?action=theme;sa=pick;u=[id de tu perfil];sesc=[tu hash sesc]
y smf hará una inclusión hacia tu avatar creyendo que es un theme  :rolleyes: modificas tu theme y le das la ruta del avatar terminado en %00 o \0 que es un null byte.
http://www.simplemachines.org/community/index.php?topic=307717.msg2056804#msg2056804

Descarga la versión 1.1.9 que tiene parchado el problema -->
http://download.simplemachines.org/

esto mismo no estaba en las otras versiones ?
me precio leer algo asi.. o lei cualkiera... jajajja

buena info..
se agradece..
un saludo

Si, o sea era similar, se explotaba diferente pero al final el punto en que el avatar podía contener código malicioso seguía sin ser solucionado.

Aprovechando este post quiero exponer un par de bugs para smf 1.1.9:

1. Bug en el módulo de encuestas.
Si te fijas en el código fuente Sources/Pool.php Linea 164 a 166 podrás ver

foreach ($_REQUEST['options'] as $id)
	{
		$id = (int) $id;

A veces no puedes votar tranquilo porque te deniegan la visualización de los resultados si no votas primero asi que hacemos un bypass sabiendo que la variable es numérica pero en ningún lado especifica que no podamos ingresar valores negativos, le insertamos el valor "-1" y cuando le damos en votar nos aparecerán los resultados sin que nuestro voto afecte la encuesta.
Esto no es una vulnerabilidad grave, solo es un bug ya que no debería funcionar de esa forma.

2. El segundo bug está en el componente Sources/Sub-Auth.php linea 459 donde la query hacia la base de datos para ir buscando miembros puede ser de valores extremos haciendo que la memoria colapse o se detenga cuando llegue al limite estipulado en la configuración del php.ini.

Por ejemplo vamos a el perfil -> configuración de mensajes privados y le haces click donde dice buscar usuarios (esta opción está en varias secciones del perfil), se abrirá una pequeña ventana hacia:
http://foro.sitio/index.php?action=findmember;sesc=[hash]
donde dice buscar usuarios fijate que nos da un comodín asterisco asi que vamos a lo mas lógico con una mentalidad psicópata y le ponemos asterisco.. al darle buscar simplemente colapsará, nos dará error de php o reaccionará dependiendo de la forma de mostrar errores que esté configurado en el script o php.ini.


Haciendo unas pocas peticiones GET seguidas podrías hacer colapsar al servidor completo dejandolo sin recursos de memoria.

3. SMF no tiene control sobre la cantidad de noticias RSS desplegados en pantalla asi que puedes solicitar con toda confianza unos 999 post y te los comenzará a dar. Al igual que en el caso anterior solo basta hacer unas pocas peticiones seguidas de esta forma para que el servidor MySQL le deniegue el acceso a php debido a que sobrepasa el limite de memoria utilizado quedando el foro off.

Prueba:
http://foro.web/index.php?action=.xml;sa=news;board=34;limit=999;type=rss

4. Información disclosure:
No sirve el estado oculto de un perfil (opción de no mostrar si estás conectado) ya que si miras el perfil de una persona que no está conectada puedes ver que dice
y arriba en el foro dice:
asi que obiamente está conectado y podemos reclamarle el dinero que nos debe ese contacto  >:( , lo normal que debería hacer smf es no mostrar ese dato si se ha activado la casilla de estar invisible.

5. Información disclosure:
Hay una opción que dice no mostrar los post si el visitante no está registrado.. mm... fácil, le ponemos al final action=.xml y verás el foro en formato xml con temas y todo xD por ahi sdc había encontrado una forma de ver el perfil en formato xml asi que talves puedas enviar esa acción sin utilizar la variable action y ver otras secciones de la misma forma.

6. El csrf que publiqué hace bastante todavía sigue en pié, donde el usuario puede poner en su firma una imagen con el enlace hacia el colapso de todos los foros y cuando veas un post de ese atacante despues verás todos los foros colapsados.
Ejemplo:
mira la portada del foro ahora.
(http://foro.elhacker.net/index.php?action-collapse;c=1;sa=collapse)
(http://foro.elhacker.net/index.php?action-collapse;c=2;sa=collapse)
(http://foro.elhacker.net/index.php?action-collapse;c=4;sa=collapse)
(http://foro.elhacker.net/index.php?action-collapse;c=6;sa=collapse)
(http://foro.elhacker.net/index.php?action-collapse;c=9;sa=collapse)
(http://foro.elhacker.net/index.php?action-collapse;c=10;sa=collapse;#10)
Nada les cuesta agregar un token sesc a la función.
No se si en este foro le pusieron un parche pero por lo menos oficialmente sigue así

un  ;-) whk
bastante bueno

muuy bueno =P
un saludo

Ese LFI es viejo, pero se solucionaba deshabilitando la subida de avatares desde el paneladmin y listo.

Recomiendas la actualización a la versión 1.1.9  :huh:
Mas bien creo que me quedo con la 1.1.8  :P

Que dice al pie del foro?  :rolleyes:

Saludos

P.D: igualmente los del foro siempre estan parchados XD

Siempre opta por las actualizaciones, si tienes un sistema web nunca te quedes con una versión desactualizada o se puede prestar para muchas cosas como por wejemplo ataques, mal funcionamiento, incompatibilidad, etc.. simplemachines no saca una actualización solo para reparar fallos sino también para optimizar tareas, funciones, etc.
A veces dicen que la actualización x parcha un problema pero en realidad llevan muchos cambios que por no ser tan relevante no se dice pero muchas veces si marcan la diferencia.

Esto se aplica de igual manera en Wordpress, Joomla, etc y siempre, siempre, siempre intenta en lo posible estar lo mas actualizado posible.

Pues la verdad, el otro dia estaba por otro SMF y, de pura casualidad, vi lo de 1.1.9 y dije ostras, han sacado una nueva versión...

Y vine aqui y vi que aun tenian la 1.1.8 asi que le mandé un MP al Brujo y cinco minutos despues ya estaba con la 9  ;)

A mi también me suena de haber oido ese bug en lo de los avatares, creo que no en este foro, pero si en alguno que participo...

Bueno ya se los reporté -->
http://www.simplemachines.org/community/index.php?topic=307717.msg2073213#msg2073213

Pero no me respondieron de buena forma -->
http://www.simplemachines.org/community/index.php?topic=307717.msg2073242#msg2073242

Creo que tenía bastante razón un amigo mio cuando dijo que los comentarios de fallas en smf no eran muy bién bienvenidas.

El soporte técnico dijo:
post inutiles y donde está la falla, joder o no sabe español pero de ahi a que el post no sea relevante ps ayá ellos yo ya les avisé, yo no hablo ingles asi que no pude explicarles con detalles y ellos no saben español... no es mi culpa de nacer en chile y ellos en usa asi que que mas se le va a hacer, por lo menos cuando publiqué las fallas en joomla me respondieron en medio español jajaja.

Talves quieran un video demostrativo para que digan "aah era verdad" al igual que en joomla que después de varias semanas después publiqué el video e inmediatamente o reconsideraron.

Quién sabe, alomejor se lo toman en plan....como el tipico bromista que avisa de cosas que no son...

Por eso yo creo que lo mejor seria que te hicieras un SMF de prueba, y mostrases como explotar el bug desde ahi, con un video...

....o directamente explotalo en el foro de soporte, así verán que no es ninguna broma jajaja  :xD (nah, no hay que ser tan malvado)

El foro de SMF no duraría nada explotado :) muchas personas deben tener acceso a reparar el foro, además que el foro de soporte debe tener cosas editadas. A menos que confien demasiado en su sistema

Si lo verifiqué, la versión que ellos usan tiene varias diferencias de seguridad en comparación a las versines públicas, por ejemplo antiguamente cuando se podia tener acceso a la lista de mods instalados simplemachines le tenia puesto un htaccess para denegar el acceso al directorio de paquetes pero ninguna versión publica la tenía y por eso se daba un disclosure.. dos versiones después se lo agregaron.

Eso de visualizar el máximo de usuarios ellos lo tienen configurado para que muestre un máximo de 75 usuarios pero en todas las versiones publicas te jodes y te manda al carajo el foro exausteando la memoria.

De todas formas SMF es uno de los sistemas de foro mas seguro.

Eso es verdad por lo menos cuando salen vulnerabilidades se ofrece el parche antes de que se masifiquen los foros Owneados.
 
Siempre van un pasó delante, debe ser porque van probando las nuevas cosas en su foro primero :)

a partir de este fallo yo e encontrado 1 cookies keyloger solo para estas versiones entre ellas esta la beta es buenisimo ya lo postiare

 :D :D