Незаконно используя её вы можете навредить сайтам и испортить будущее СЕБЕ!!!
Ответственности за неправомерное использование информации мы не несём.
Игорь
ibigdanпредупреждён и ошибка на его сайте уже отцувтсвует.Данный текст публикуется как Advisory для того чтоб вы своевременно обновили свои скрипты!
ВНИМАНИЕ! Каждый пользователь имеющий кроме ЖЖ так же свой блог на WordPress, установивший и настроивший плагин LJ comments import: reloaded подвержен атаки на собственный жж, в результате чего любой злоумышленник может авторизоваться в вашем ЖЖ не зная пароля, просьба временно удалить плагин, после чего в течение 3-5 дней будет опубликован способ устранения уязвимости. *
Техническая информация:
Уязвимость в плагине LJ comments import: reloaded сайт с плагином http://wordpress.org/extend/plugins/lj-comments-import-reloaded/
Уязвимость в файле cookie.txt, который находится в открытом доступе данные из которого могут быть прочитаны злоумышленником.
Устранение уязвимости:
1. После установки перенесите фаил cookie.txt за пределы http_docs, после чего измените путь к файлу в скриптах
1.1. sync_lj_comments.php ( строка 56, 57)
1.2. lj_comments_import.php (строка 324, 325 )
или
2. Поместить в папку с плагином файл .htaccess со строками
<Files cookie.txt>
deny from all
</Files>
Ссылка на решение http://bosikomponebu1.livejournal.com/73645.html?thread=269997
А теперь рассказ с демонстрацией уязвимости.
Всё началось одним осенним вечером, я сидела перед монитором, пила вино, мечтала что когда то стану тысячником и грезила о недостижимой славе
ibigdan, обычно в таком настроение я листаю любимые форумы среди которых RDot и Античат а их не упомянуть не получится, так как сейчас именно они строят мою линию жизни, но я отвлеклась =), листая их я увидела описание одной уязвимости в Opera после чего появился пост Проверка новой уязвимости Opera, обсуждение которого перешло в другую запись Уязвимость XSS на примере livejournal.com в которую по совершенно непонятной мне случайности забрёлsudo_andy мы начали болтать обо всём распивая виртуально спиртное, думать как завладеть миром и начать решили с ЖЭЖЭ, ведь с чего то начинать надо, а раз познакомились мы тут, значит от сюда и стоит начинать, деля лавры победителей мы стали спорить, кто будет главным на виду, а кому сидеть на берегу с удочкой, ловить рыбку пожимая лучи славы и власти ;) , я выбирала макраме и домик на берегу океана, зачем мне популярность, а открытой политикой пусть занимается мужчина ;)Обычно в таких спорах у реальных людей рождаются дети, а у нас постепенно рождался алгоритм покорения жж, весь алгоритм вы можете увидеть в комментариях к записи Уязвимость XSS на примере livejournal.com и вот 1 наш ребёнок смог нас сделать
ibigdan
сам ребёнок выглядят очень красивым:
BTW, про куки жж - случайно наткнулся на http://wordpress.org/extend/plugins/lj-comments-import-reloaded/installation/ такой плагин, для вордпресса, есть ненулевая вероятность того, что владельцы стандалоне-блогов, паралельно живущие в жж, (типа катоги, просто_вовы, да через одного ТОПы имеют стандалон) имеют /wp-content/plugins/lj-comments-import-reloaded/cookie.txt , который отдают всем желающим.
смысл пдагина - синхронизация комментариев между жж и стандалоне ВП.
дефолтный адрес - /wp-content/plugins/lj-comments-import-reloaded/ для новых версий для ВП 3.х или /wp-content/plugins/lj_comments_import/ для более старых. Само собой, это справочная информация, для обсуждения проблем инфобезопасности в блогосфере)))) но что мои описания, посмотрите на него сами: Ребёнок
, хотя какие ещё могут быть первенцы ;) , сам ребёнок оказался немного хулиганистым и попытался вторгнуться в личную жизнь Игоря:
но мы его вовремя остановили, так как одно дело воровать яблоки перелазя через забор, а другое подглядывать в окна, хотя плохо и то и то, но первое всего лишь детские шалости.
Мы его отцом попытались узнать, как наш Бугагашенька, а так его зовут проник в чужой двор, так как папа строгий, Бугагашенька рассказал всё мне.
Прежде всего он зашёл на сайт Игоря Сайт Ибигдана, постучался в калитку, не кто не ответил, он обошёл вокруг дома и увидел тайник игоря, где лежала его одежда:
он переоделся в неё
в результате чего незаметно проник во двор к Игорю.
Но мы его вовремя в поймали, немного пожурили отправив к Игорю, чтоб он всё рассказал.
Бугагашенька пообещал так больше не делать, дядя Игорь угостил его яблоками в благодарность за то что этот сорванец показал эту глупую оплошность.
Вот так хорошо и просто закончилась эта история одного сорванца.
А вы проверьте, нет ли у вас такого тайника через который к вам домой могут зайти кучи таких сорванцов.
Если захотите помочь нам в воспитание сорванца, то можете благодарить жетонами, добавлять в друзья и просто говорить спасибо.
Главные лица:
Папа
sudo_andyМама
Дядя Игорь
ibigdanНу и сам Бугагашенька =)
PS: К сожалению на долгое время это мой последний пост, подробности вы можете прочитать в прикреплённой записи, но это не значит что меня не надо добавлять в друзья или отписываться, так как у блога будет хорошенькая нянечка которой я иногда буду отправлять почтой сообщения, порой буду брать у мамы тел или заходить в интернет клуб.
Я с вами не прощаюсь, ведь всё только начинается ;) =)
С уважением Алина