تحذير للاخوان مدراء السيرفرات .. اتقوا الله و اهتموا بسيرفراتكم ..

[ThE Spirit]

السلام عليكم ..


ما اقول الا حسبي الله و نعم الوكيل ..

ثغره قديمه جدا ( و لكن 90% جاهلين عنها من اصحاب سيرفراتنا ) كانت بايد مجموعه قليله من الناس.. تنشر للكل و بالتفصيل الممل تشرح لهم .. مدري هالناس فيها مرض نفسي من شي اسمه كتمان او ايش .. المهم ما علينا ..


المهم اخواني اتمنى من الجميع اخذ الموضوع بمحمل الجد .. لان الثغره تمكن من قراءة اي ملف بالسيرفر و تخطي السيف مود .. و مالها اي دخل بالدوال المعطله و لا غيرها .. قراءة عن طريق ال mysql ..


و الموضوع عنها.. موجود هنا من زمااان :
http://dev.mysql.com/doc/refman/5.0/...ata-local.html

الموضوع واضح .

عطل الامر LOAD DATA LOCAL INFILE ..


و اي مساعده انا حاضر ..

و دمتم سالمين ..

[ThE Spirit]

المهم اخذ الموضوع بعين الاعتبار
الردود ما تهمني

و انا متاكد ان 80% من السيرفرات العربيه تعاني من هالمشكله ..

[عبقري العرب]

شكرا اخي

بس ممكن تشرح لنا عمل الداله/ الامر


و لو سمحت اذا تعرف كيف نعمل LIMITATION حق دالة OPENDIR

[ThE Spirit]

يا اخوي هذي ما داله
كوماند بالـ mysql

اقرأ عنها في موقع mysql ..
http://dev.mysql.com/doc/refman/5.0/en/load-data.html

اما بالنسبه لسؤالك .. ما اقدر اعطيك شي مو متاكد منه ..
بس ما اتوقع تحديد عمل الداله بصعب و الاخوان المبرمجين ممكن يفيدوك اكثر مني..

[maneghost]

المهم اخذ الموضوع بعين الاعتبار
الردود ما تهمني

و انا متاكد ان 80% من السيرفرات العربيه تعاني من هالمشكله ..

وكيف تجزم ان 80% من السيرفرات العربية تعاني من هالمشكلة؟

[ThE Spirit]

وكيف تجزم ان 80% من السيرفرات العربية تعاني من هالمشكلة؟

عايش بالدنيا انا ترى


و ارجع و اقول ما علي الا البلاغ المبين

عشان لا اتحسر بعدين و اقول كان بايدي اسوي شي و ما سويته

بلغت و انتهى دوري ..

و الباقي عليكم ..


و سلاام

[OmanSecurity]

كلام صحيح 100%
لتعطيل الدالة قم بوضع
set-variable=local-infile=0
داخل ملف /etc/my.cnf
تفضلوا لأي مساعدة اخرى
شكرا

[ThE Spirit]

حيّاكم الله ..


و اي احد يبي يتأكد من وجودها بسيرفره ..

يضيفني :
buff3r@hushmail.com

سلام

[bman]

http://www.swalif.net/softs/showthread.php?t=187543

[HaMaDa4eVeR]

لان الثغره تمكن من قراءة اي ملف بالسيرفر و تخطي السيف مود .. و مالها اي دخل بالدوال المعطله و لا غيرها .. قراءة عن طريق ال mysql ..

لا اريد ان وضح طريقة الاستقلال ولكن الثغرة يمكن تنفيذها من خلال دوال shell ولا اعتقد ان الدوال متاحه في سيرفراتنا ، ويمكن استغلالخا عن طريق الـSSH وكما تعلم ان الكل يقم بغلاق الـSSH.
لا خطر كبير

واشكرك للتوضيح

[البروفسيور]

يا HaMaDa4eVeR لا الثغرة اللي قصدها sprit في mysql ماله دخل الشيل ابداً بمجرد ما يتوفر للمخترق معلومات اي قاعدة بيانات أو يوزر و باسوررد فالامر يكون خطير على صاحب السيرفر أو الموقع

[aboans20]

كلام سليم ..

اغلاق الثغره بكل سهولة
للاخوان لتعم الاستفاده
في الشل اكتب الامر

pico /etc/my.cnf

ثم اضف

set-variable=local-infile=0

اعمل ريستار sql

service mysql restart

وللتاكد ادخل الامر مره اخرى

pico /etc/my.cnf

ستجد في في المكان اللي وضعت الكوماند فيه

set-variable=local-infile=0

اخوكم ابونايف

[wael55]

السلام عليكم

اخى الكريم فقط تعقيب على كلامك مانعانيه نحن العرب ان جميع الشركات او الاشخاص او شركات الاستضافه

انهم هواة فقط يعنى ماعندهم جديه في العمل الا القليل منهم المتابعين من ثغرات السيرفرات
او ماشابه هم قليل جداااا


فالك طيب

[البروفسيور]

يا اخوان فيه شي مهم لازم تنتبهون له

واحد قبل شوي جاني و المشكلة جاي يقول شوف حقين سوالف ما عندهم سالفه انا مصكر الثغره من زمان (مع انه الله يصلحه مهوب صادق) لكن الثغره عنده مهيب مصكره

و السبب انه لازم لازم يحطها تحت [mysqld] يعني يصير شكلها كذا مثلاً في ملف my.cnf

[mysqld]
set-variable=local-infile=0

غير كذا الاغلاق مهوب ضابط يعني اضافتكم لها على غير سنع

الا هل بلغت اللهم فاشهد

[download]

هل الاغلاق هذا يؤثر على عمل المنتدى او الموقع