Merhabalar,
Genel olarak, her üye olan kullanıcıların mesaj yazabildiÄŸi, genelde forumlarda bulunan bir açıktan bahsetmek istiyorum. ÇoÄŸunlukla forumlar’da bu olayla karşılaşıldığından, baÅŸlığı vBulletin htaccess Açığı olarak belirledim.
İşin Ayrıntıları;
Olay aslında uzun süredir olan birÅŸey. Linux ve apache’nin varlığından beri mevcutta diyebiliriz. Açık (tam olarak açık denmese de farklı biçimlerde kullanınca bu hali alıyor). Yapılan iÅŸ çok basit.
htaccess dosyası ile FTP’de bulunan bir klasörü ÅŸifrelenmiÅŸ hale getirebiliyorsunuz. Örnek vermek gerekirse şöyle bir pencere den ÅŸifre girmeniz isteniyor. Girilen ÅŸifre, kötü niyetli hacker tarafından istenildiÄŸinde kayıt altına alınabiliyor.
Ama Nasıl Sizin Sitenizde Pencere Açtıracak?
İşte bu dahada basit bir işlem. Yapması uğraşması gereken hiçte birşey yok.
Hacker bu iÅŸlemi sizin sitenize uygularken, saadece bir jpg,gif v.b bir resim dosyası kullanması yeterli oluyor. Resimin bulunduÄŸu her sayfa da bu uyarı penceresi açılıyor ve sizden sifre girmeniz isteniyor…
Senaryo;
Olayı şöyle kurgulayalım. Forum sitenize bir üyeniz geldi. Siteyi gezerken bir konu dikkatıni çekti ve girdi.
Konuya girdiÄŸinde sayfadaki tüm resimler önbelleÄŸe yüklenir. Kötü niyetli hacker, bir .jpg dosyasına htaccess koruması veriyor. Ãœyeniz de bu sayfaya girdiÄŸinde pencere sanki sizin siteniz tarafından açılmış gibi bir izlenim veriyor. Hatta hackerlar dahada inandırıcı olsun diye, bu uyarı penceresine şöyle bir ibare’de ekliyorlar;
“Siteye giriÅŸte veritabanında problemler oluÅŸtu. Lütfen tekrar giriÅŸ yapınız.”
Bunu gören kullanıcıda uyarı sizin sitenizde açıldığından, habersizce girebiliyor… Hesapları elden gidebiliyor.
Hacker tabiiki bu şifreleri bi dosya yazdırabiliyor.
Örnek bir resim;
##
Forumlarda ki Bu açıktan Korunmak!
İşin kötü yanıda bunu. Bu açığı engelleyemezsiniz. Yapabileceğiniz pekte fazla birşey yok.
- Üyelerinizin Resim eklemesini engellemek ( inanılmaz saçma bir çözüm olurdu.)
- Sitenizde ki tüm mesajları takip ederek, bu açığı kullanan kişileri banlamak. (Belki de en idal yol şu anlık bu)
https://www.hell-world.org/ownz/yeni-vbulletin-htaccess-acigiyeni-vbulletin-htaccess-acigi/
