Не нравятся результаты поиска? Попробуйте другой поиск!
dle-faq.ru FAQ (все вопросы) Общие вопросы Как можно залить shell без доступа к админке? Никак же.

Как можно залить shell без доступа к админке? Никак же.


     18.03.2014    Общие вопросы    2675

вопрос
Прочитал некую инфу на сайте:

Сайты на движке dle нуленном, очень часто подвергаются взломам, так как при кряке создаются, так называемые "дыры", которые позволяют злоумышленникам возможность с легкостью взломать Ваш сайт на движке dle.

Как обычно работают хакеры? Самым распространенным взломом, является взлом через шелы(shell), это, как я понял, файлы, которые могут, попав на сайт(хостинг), выполнять различные функции, в частности красть данные из файлов, таких, как bdconfing.php, и иметь данные к вашей базе данных. Также покупаем увлажнитель воздуха для комнаты от нашего партнёра. По сладким ценам с отличным качеством!

Откуда ждать угрозы? Единственные папки, в которые могут заливать шелы, это /uploads/ и /templates/, так как именно они имеют атрибуты 777(запись, редактирование и тд), которые позволяют нам через админ панель, или при добавлении новостей редактировать их: заливать картинки, менять шаблон, файлы на сервер.

Что нужно предпринять?
1. Создать файл .htaccess
2. Вписать в него:
а)
php_flag engine  off

б)

Order allow,deny
Deny from all

PS, если а) не работает, использовать б)
3. Залить .htaccess в папки /uploads/ и /templates/.


Мучает вопрос:так как без доступа к админке смогут залить shell??
Гуглил - не нашел.

Ответа пока нет


Комментарии пользователей (9)

feniks01
4

203 | 17

feniks01 - 18 марта 2014 19:58 - Гости

О безопасности заволновался :D

Gopr
10

494 | 164

Gopr - 18 марта 2014 20:40 - Юзер


Сохрани прикрепленную картинку к этому комменту и открой через блокнот. Прочитай там последнюю строчку xD

Хм запоганился код... хотя до отправления коммента сохранил себе все норм было.

alexcreew
41 | 12

alexcreew - 18 марта 2014 20:03 - Юзер

На сколько мне известно, могут через вышеописанные "дыры" ну или стандартным способом (при добавлении новости или загрузке аватарки) заливать картинку, которая на самом деле является не картинкой, а каким-либо скриптом. Тоесть у вас в папке появится файлик "super_photo.jpg" открыв вы её в браузере ничего не увидите, но а запустив ссылку на эту картинку в своей супер-проге, которая умеет обрабатывать такие "чудо-картинки" он (злоумышленик) активирует этот скрипт и он выполняет свою функцию: тырит данные из бд или доступ к админке и тп...

feniks01
4

203 | 17

feniks01 - 18 марта 2014 20:13 - Гости

На сайте, только админ и никто другой не может загрузить, если он каким-то волшебным образом окажется в пользователях

DaivZ
2

283 | 175

DaivZ - 18 марта 2014 20:06 - Юзер

alexcreew,
картинки пофиксены в 10.1

David
5

35 | 13

David - 18 марта 2014 20:13 - Юзер

DaivZ, а в версии 10 ?

dj-avtosh
39

1479 | 390

dj-avtosh - 19 марта 2014 03:41 - шашлычник

Вполне могут оказаться всякие CKeditor'ы дырявые. У них там нет проверки на содержание файла, лишь на сигнатуру.

Хакер заливает фотку с php кодом, потом через функцию переименования папки переименовывает изображение в файл с расширением php.

И кстати - не всегда сработает отключение интерпретации php.

skype: elhan.isaev

vitnet
218

2172 | 930

vitnet - 19 марта 2014 09:46 - Эксперт

Сайты на движке dle нуленном, очень часто подвергаются взломам, так как при кряке создаются, так называемые "дыры", которые позволяют злоумышленникам возможность с легкостью взломать Ваш сайт на движке dle
Мне вот интересно кто это писал? Какие дыры вы о чем, там всего лишь одну строчку нужно изменить и та только на проверку ключа ;)
Здесь есть другая хитрость

dj-avtosh
39

1479 | 390

dj-avtosh - 20 марта 2014 07:03 - шашлычник

По типу хайд линков :D

skype: elhan.isaev

Чтобы комментировать - войдите или зарегистрируйтесь на сайте

Похожие вопросы