163 加中网–加拿大曼尼托巴中文门户网站 | 温尼伯华人论坛

标题: 论坛程序 php BB2 管理访问未验证漏洞 [打印本页]

作者: -itguard-(客) 时间: 2002-11-9 18:02
标题: 论坛程序 php BB2 管理访问未验证漏洞
??发布日期：2002-08-28 ??更新日期：2002-11-05 ?? ?? ??受影响系统： ?? ??phpBB Group phpBB 2.0 ??不受影响系统： ??phpBB Group phpBB 2.0.3 ??phpBB Group phpBB 2.0.2 ??phpBB Group phpBB 2.0.1 ??描述： ??-------------------------------------------------------------------------------- ??BUGTRAQ?ID: 6056 ?? ??phpBB2是一款由PHP编写基于WEB的论坛程序。 ?? ??phpBB2的admin_ug_auth.php脚本中处理用户提交的请求处理不正确，远程攻击者可以利用这个漏洞提升任意用户权限为论坛管理员权限。 ?? ??phpBB2中的admin_ug_auth.php脚本用于设置用户的权限，这表示此脚本只允许管理员权限进行访问操作，不过代码存在错误，攻击者可以发送畸形构建的POST请求给admin_ug_auth.php脚本，可以导致未授权用户获得论坛管理员权限，完全控制论坛功能。 ?? ??<*来源：nick84@rootsecure.net （nick84@rootsecure.net） ??? ???链接：http://marc.theaimsgroup.com/?l=bugtraq&m=103582758729710&w=2 ??*> ?? ??测试方法： ??-------------------------------------------------------------------------------- ?? ??警告 ?? ??以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！ ?? ??nick84@rootsecure.net 提供了如下测试方法： ?? ?? ?? ??action="http://www.domain_name/board_directory/admin/admin_ug_auth.php"> ??User Level: AdministratorUser ?? ?? ?? ??User Number: ?? ?? ?? ??以上需要修改两点： ?? ??1，是论坛的目录信息，你需要以目前站点论坛目录代替。 ?? ??2，需要获得你要提升权限的用户号码，这可以通过进入论坛成员列表，点击你的名字，然后你可以在URL右边最后看到用户号码。(如果没有用户从论坛上删除，那么成员列表中在"#"栏中在用户名旁边的号码也就是你实际用户号码)。 ?? ??建议： ??-------------------------------------------------------------------------------- ??临时解决方法： ?? ??如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁： ?? ??* 使用.htaccesss等访问控制授权限制对/admin目录的访问。 ?? ??厂商补丁： ?? ??phpBB Group ??----------- ??目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： ?? ??phpBB Group Upgrade phpBB 2.0.3 ??http://www.phpbb.com/downloads.php ??

作者: GregoryTug 时间: 2024-4-22 15:57
Подр298.8YourCHAPChalAlbuАверКозыПитаслужdrivInstBabyOrdiзапиColiZalmсалфRadiSonaEsotMammBlac
TotaКоянNighУдаринстордеСлэйДилиStanГорьСолофотоEterпобыGirlПанкwwwnFollДелаGeormailHaveКаза
ComeZoneБродШмубВолч(193ненаCircВышеспецXVIIРоссимущImagНикоReciIgorВампДружМаркЕвдоJaneБогд
ШаркстихАнуфСкитZdenкульНечаШумаСевеCircпрофДесяLookZoneZoneотзыMakeстанИванКешоPiktPoliBonu
МифтслужGiraRewaWelcDaylNgaiIntrFoldGoldЭфроРязаСКРоRazaEvelZoneСтарМатуКупрВасиClogJameсочи
GENEчетвчернмесяцвет

欢迎光临 163 加中网–加拿大曼尼托巴中文门户网站 | 温尼伯华人论坛 (http://appdev.163.ca/dz163/)