[HACK] Web Hackeada

[RibaNet Servicios Informáticos]

Fabio wrote:

>Hola a todos,
>
>	El lunes pasado hackearon un sitio que tengo con paginas en php.
>	tenia instalado un foro PHP BB viejo sin usar y creo que ingresaron por alli.
>	pero por las dudas queria hacerles una pregunta:
>
>	en PHP usando el comando fopen("$pagina","r") se puede llegar a ejecutar comandos
>	en el servidor?
>
>	tengo un script que recibe como parametro $pagina y abre esa pagina para mostrar el
>	contenido.
>
>	de esta variable $pagina se eliminan las partes que contengan "../" y "/" .
>
>	se que en PERL hay que eliminar tambien "|" ya que sino se pueden
>	inyectar comandos del tipo |ls -al;cd ..;cat archivo.txt;echo "esto" > aqui.txt|
>
>	Hay alguna forma de inyectar comandos en PHP de forma similar a la que
>	describo de PERL?
>
>Saludos, Fabio.
>_______________________________________________
>Lista - http://mailman.argo.es/listinfo/hacking
>FAQ - http://www.argo.es/~jcea/artic/hack-faq.htm
>"una-al-dia" para estar siempre informado - http://www.hispasec.com/
>
>
>
>  
>
Hola

Te hablo en conocimiento de causa, proque a mi me hackearon también un 
phpbb 2.0.10 (bienaventurados los que hacen backups... y si son 
periódicas y automáticas mejor aun)

Los phpBBs anteriores a la 2.0.11 son todos vulnerables a URL 
malformadas, por las que mediante el viewtopic.php se pueden ejecutar 
comandos remotos en el servidor. Y todo lo que ello conlleva...

Aquí tienes una URL de ejemplo, que muestra un "ls -la" del directorio 
del viewtopic.php

http://www.victima.com/foro/vietopic.php?t=9&highlight=%2527%252esystem(chr(108)%252echr(115)%252echr(32)%252echr(45)%252echr(108)%252echr(97))%252e%2527

Yo ahí no veo ninguna / ni ../ pero no se muy bien como funcionan tus 
mecanismos de protección.

Un saludo

RibaNet Servicios Informáticos
http://www.ribanet.com