Hakbyist

Timeline :
27 Sep 2015 – แจ้ง vulnerability ให้กับโปรแกรมเมอร์เว็ป
27 Sep 2015 – โปรแกรมเมอร์แจ้งว่าปิด tag scirpt บริเวณลายเซนต์แล้ว
27 Sep 2015 – ทดสอบตามที่โปรแกรมเมอร์แจ้ง
28 Sep 2015 – แจ้งว่ายังสามารถแทรก tag iframe และใช้ payload <IFRAME SRC=”javascript:alert(0)”></IFRAME>
28 Sep 2015 – โปรแกรมเมอร์แก้ไขปัญหา iframe

Report: สามารถแทรก tag script ในลายเซนต์ได้
Category: XSS
Step to reproduce:
1. ไปหน้า user edit ลายเซนต์
2. แทรก <script>alert(0)</script> บริเวณลายเซนต์

ผลกระทบ:
– สามารถขโมยคุ๊กกี๊ แก้ไขคุ๊กกี๊เพื่อให้ login เป็น user ใด ๆ ก็ได้
– แสดงข้อความว่าถูกแบนแล้วแทรก iframe เพื่อขโมย user/pass แบบ plain text ได้
– ใช้ browser เป็น bot

รางวัล:
– ได้ยศ Hall of frame (ครับ frame ครับไม่ใช่ fame)
– แผล่บ 3,000 แผล่บ

**คล้าย ๆ ว่าถ้าโดนขโมย cookies แล้วจะสามารถ login เป็น user นั้น ๆ ได้ตลอดจนกว่าเปลี่ยน
key ที่ใช้สร้าง cookies ครับ (soccersuck ใช้ CakePHP ครับ)

เพิ่งได้อ่านจากเฟสน้องแมวยาวว่า Atomy มีช่องโหว่ตัวนี้ ตั้งแต่ปี 2013

https://packetstormsecurity.com/files/122227/Atomymaxsite-Shell-Upload.html

พอลองกลับไปดูเว็ปที่ทำงาน อ้าว มีด้วยนี่หว่าเราลองอัพ php อัพได้ด้วย

ก็เลยลองแก้ดูครับ สรุปปัญหามาจากไฟล์ /modules/research/add.php

ที่ยอมให้ upload file นามสกุลใดก็ได้ครับ ผมก็เลยแก้เป็น

บรรทัดที่ 68

if (is_uploaded_file($_FILES[‘filesw’][‘tmp_name’])&&(substr($filesw_name,-4)==’.zip’||substr($filesw_name,-4)==’.rar’)) {

บรรทัดที่ 73

if (is_uploaded_file($_FILES[‘abstractxx’][‘tmp_name’])&&(substr($abstractxx_name,-4)==’.doc’||substr($abstractxx_name,-4)==’.pdf’)) {

ตอนแรกสับสนนิดหน่อยว่าจะกำหนดยังไงระหว่างกรองไฟล์ที่เราไม่ต้องการออก

เช่น ไม่ให้ upload file php แต่ทางที่ดีที่สุดคือระบุว่าเรายอมให้ไฟล์อะไร

อัพขึ้นไปได้จะดีกว่า เพราะถ้าเกิดมีไฟล์อื่น ๆ ที่ส่งผล เช่น .htaccess

deny all ไว้คนจะเข้าเว็ปไม่ได้ ดังนั้นกำหนดว่าอัพอะไรได้จะดีกว่าครับ

แต่ทางแก้ที่ดีที่สุดผมว่าคือ เลิกใช้ไปเถอะ atomy พรุนเป็นสวิสชีสแบบนี้

เออ รู้สึกว่าเวอร์ชั่นใหม่ ๆ (2.5.2 ขึ้นไป) ไม่มีปัญหานี้แล้วนะครับ ถ้าลองหาตามเน็ต

ซัก 15 เว็ปจะมีเว็ปนึงครับ ต้องเป็นเว็ปที่ร้างจริง ๆ ปัญหาอาจจะไม่ได้มาจาก

atomy น่าจะมาจากการไม่อัพเดตของที่ทำงานผมมากกว่า