Anonyme
 19853
| ![]() Posté : 06-04-2003 13:33
Je suis en train de monter un site pour l'instant en localhost, mon bo-frere a trouver une faille sur un site et je c pas comment la corriger, car a cause d elle on peut ouvrir n importe kel fichier.php sur le host.
il fé une arborescence de tous les fichiers du site correspondant et rien de plus simple ke de lire le config.php
je vous montre le message k il a trouver:
Une enorme faille est presente sous tous les sites tournants sous PHPnuke . Cela provient du script filemanager dans admin.php.
il suffit de taper:
http://www.site.com/admin.php?upload=1&file=config.php
&file_name=hack.txt&wdir=/images/
&userfile=config.php&userfile_name=hack.txt
et vous verrez une copie du fichier config.php sous le format .txt .Quand on sait que ce fichier comprend le mot de passe de la base de donnée, imaginé ce que quelqu'un de mal intentionné peut faire !!!. Ou on le voit? : dans le fichier images/hack.txt
Si vous ne le trouvez pas apres avoir tapé cette url, soit c'est une version corrigée, soit le fichier image n'est pas en chmod 777 .Dans ce cas, cherchez en un en 777 et remplacer "images" par le fichier en chmod 777.
pour eviter cette faille, supprimé la fonction filemanager et upload dans admin.php et supprimer le fichier filemanager.php dans admin/modules/ enfin, vérifier les chmod de vos fichiers et éviter de les laisser en 777
Merci à Neocid de m'avoir gentiement rappelé cette faille.
ossi, est il possible de desactivé les reponses comprenant des textes en php car on peut y mettre un mouchard.
Merci vraiment de m aider. |
