OuTian's 芭樂閣

'Security' 這個類別的文章

HIT 2007

盛況空前的 Hacks In Taiwan Conference 2007 , 終於在前幾天順利落幕了

個人在今年的場次中 ,

共參與了四個部份 -

Wargame Designer
Training Course
0day exploit
Session speaker

老實說, 平日工作就非常的忙碌 , 加上這些要作大量的準備,
已經快超出我能負荷的程度 ....

所以前一個月　幾乎每天都沒辦法好好入眠
一閉上眼就想到再不趕快弄　就要被主辦單位追殺了　XDD

anyway , 除了 wargame 部份來不及設計完交給關主之外,
其他的場次倒是還算順利進行完了 ,
來大致作些檢討.

閱讀全文新增留言 2007-07-24 23:32

HIT 資安技術教育訓練課程與 Syscan in Taipei 2007

轉自 http://hitcon.org/ 的最新一筆消息

HIT 資安技術教育訓練課程與 Syscan in Taipei 2007
將於 2007 年 19~20 日 (週四、五) 舉行，歡迎各界人士踴躍報名參加。

課程及報名相關資訊請參考 http://hitcon.org/course/ 活動網站，
如有任何問題可來信至 course@hitcon.org 信箱詢問。

其實這是類似 BlackHat 的模式

在 Conferense 前幾天, 舉辦這類的 Training ...
　
　
　
對個人來說可能比較不划算 (長輩例外)

有興趣的人看能不能凹公司補助來上囉 ..... cc

2 則留言 2007-06-01 14:21

WordPress 2.1.3 admin-ajax.php SQL Injection Vulnerability

在 WordPress 2.1.3 (不確定以前的版本有沒有 , 請自行檢查 :p )

wp-admin/admin-ajax.php 的 6 ~ 10 行

6 define('DOING_AJAX', true); 7 8 check_ajax_referer(); 9 if ( !is_user_logged_in() ) 10 die('-1');

check_ajax_referer 來自 wp-includes/pluggable.php 的 242 ~ 253 行

242 function check_ajax_referer() { 243 $cookie = explode('; ', urldecode(empty($_POST['cookie']) ? $_GET['cookie'] : $_POST['cookie'])); ..... 250 if ( !wp_login( $user, $pass, true ) ) 251 die('-1'); 252 do_action('check_ajax_referer'); 253 }

這裡會由 user 端傳上的 GET 或 POST 裡取出 cookie 這個參數的值
然後帶入 urldecode() , 所以就可以用 %2527 完成 ' 來繞過 php 的 magic_quotes
(如果主機端沒有開 magic_quotes 的話, 連這步都省了 XD)

其中, 最後會執行的 wp_login 來自 wp-includes/pluggable.php 的 173 ~ 201 行

173 function wp_login($username, $password, $already_md5 = false) { 174 global $wpdb, $error; ..... 184 $login = get_userdatabylogin($username); ..... 201 }

最後, 這裡呼叫的 get_userdatabylogin 來自 wp-includes/pluggable.php 的 112 ~ 154 行

112 function get_userdatabylogin($user_login) { 113 global $wpdb; 114 $user_login = sanitize_user( $user_login ); 115 116 if ( empty( $user_login ) ) 117 return false; 118 119 $userdata = wp_cache_get($user_login, 'userlogins'); 120 if ( $userdata ) 121 return $userdata; 122 123 if ( !$user = $wpdb->get_row("SELECT * FROM $wpdb->users WHERE user_login = '$user_login'") ) 124 return false;

所以如果沒有把 $user_login 處理好的話 , 就會被 SQL Injection 囉.

危害到什麼程度呢 ?

到可以撈你 DB 的資料哦 , 包括帳號密碼等等 :p

好新啊 , 有在用的人請趕快補 XD

如果真的還不想更新到 WordPress 2.2 的話 , 可以手動自己補一下

我的作法是修改 pluggable.php , 自己補上對 user_login 的檢查 , 如下

112 function get_userdatabylogin($user_login) { 113 global $wpdb; 114 $user_login = sanitize_user( $user_login ); 115 116 if ( empty( $user_login ) ) 117 return false; 118 119 if ( !preg_match('/^\w+$/' , $user_login ) ) 120 return false; 121 122 $userdata = wp_cache_get($user_login, 'userlogins');

新增留言 2007-05-22 18:13