[FIX] Atualizações contra SQL injection [HELIOCMS]

+5
Wake
Luan Martins
Junior
Rafacasari
Edu'
9 participantes

Edu' Edu'  • 30.10.16 15:57

[FIX] Atualizações contra SQL injection [HELIOCMS] Empty [FIX] Atualizações contra SQL injection [HELIOCMS] 30.10.16 15:57

Olá caro amigo, tudo bem? :P

Bom, ultimamente vejo aluns hoteis que usam a HelioCMS, mas ela tem algumas falhas, na qual usuários mal intencionados podem ter acesso a sua Database. Veja um print abaixo para ver o que estou tentando dizer:

[Tens de ter uma conta e sessão iniciada para poderes visualizar este link]

Para corrigir é bem simples e rápido

Vá até aonde está sua CMS e procure pelo arquivo profile.php e nele procure por: 

Código:
$profile_name = $_GET['username'];

apague e coloque isto no lugar:

Código:
$profile_name = mysql_real_escape_string($_GET['username']);


Agora salve, e abra o arquivo article.php e procure por:

Código:
$article_id = $_GET['id'];

e substitua por:

Código:
$article_id = mysql_real_escape_string($_GET['id']);

Salve as alterações novamente e abra o arquivo articles.php e procure por:

Código:
$category = $_GET['category'];

e substitua por:

Código:
$category = mysql_real_escape_string($_GET['category']);

Em seguida salve.

Recomendo também que olhe todos os arquivos PHP da CMS e veja se usam algum $_GET
caso use você mesmo pode corrigir o erro, veja um exemplo abaixo:

Código:
$variavel = mysql_real_escape_string($_GET['variavel']);
OBS: Basta colocar o mysql_real_escape_string antes do $_GET


Outros fixes para a HelioCMS:
[Tens de ter uma conta e sessão iniciada para poderes visualizar este link]

Caso você não tenha visto a CMS e queira baixar:
[Tens de ter uma conta e sessão iniciada para poderes visualizar este link]

Rafacasari Rafacasari  • 30.10.16 17:23

[FIX] Atualizações contra SQL injection [HELIOCMS] Empty Re: [FIX] Atualizações contra SQL injection [HELIOCMS] 30.10.16 17:23

Parabéns pelo tópico ajudará muitos! :)

Junior Junior  • 30.10.16 17:26

DesenvolvedorMembro técnico

[FIX] Atualizações contra SQL injection [HELIOCMS] Empty Re: [FIX] Atualizações contra SQL injection [HELIOCMS] 30.10.16 17:26

Rafacasari escreveu:Parabéns pelo tópico ajudará muitos! :)

Luan Martins Luan Martins  • 30.10.16 17:40

[FIX] Atualizações contra SQL injection [HELIOCMS] Empty Re: [FIX] Atualizações contra SQL injection [HELIOCMS] 30.10.16 17:40

o Ideal é usar o filtro de inputs para campos que vão entrar dados, 


[Tens de ter uma conta e sessão iniciada para poderes visualizar este link] Manual do PHP, usar Get é sempre arriscado. porem tem varias maneiras de prevenir entrada de dados no banco,


[Tens de ter uma conta e sessão iniciada para poderes visualizar este link]
o indicado é usar POST, usar todas essas constants já do próprio php, e fazer verificações com javascript para prevenir algumas entradas no exemplo () <> ; = + - 


no caso o mysql_real_escape_string ele deixa entrar qualquer valor que seja uma string, mas não tambem é uma string, porem em algum campos você não quer a entrada de acentuações.


exemplo, um comentário, entraria da seguinte forma com POST



Código:
 $nome    = filter_input(INPUT_POST, 'nome'   ,  FILTER_SANITIZE_STRING,  FILTER_FLAG_ENCODE_AMP);




no GET


Código:
 $nome    = filter_input(INPUT_GET, 'nome'   ,  FILTER_SANITIZE_STRING,  FILTER_FLAG_ENCODE_AMP);



porem o que você está passando vai ser mais uma defesa, e vai ajudar muito o pessoal, parabéns!

Wake Wake  • 30.10.16 19:32

AdministradorMembro da Equipa

[FIX] Atualizações contra SQL injection [HELIOCMS] Empty Re: [FIX] Atualizações contra SQL injection [HELIOCMS] 30.10.16 19:32

Obrigado por compartilhar, irá ajudar muitos!

Rai0s Rai0s  • 30.10.16 20:43

[FIX] Atualizações contra SQL injection [HELIOCMS] Empty Re: [FIX] Atualizações contra SQL injection [HELIOCMS] 30.10.16 20:43

É só trocar no .htaccess, muito mais simples...
Enfim, o tutorial é útil.

Visi0n Visi0n  • 30.10.16 22:39

[FIX] Atualizações contra SQL injection [HELIOCMS] Empty Re: [FIX] Atualizações contra SQL injection [HELIOCMS] 30.10.16 22:39

Rai0s escreveu:É só trocar no .htaccess, muito mais simples...
Enfim, o tutorial é útil.

jmths jmths  • 21.11.16 5:50

[FIX] Atualizações contra SQL injection [HELIOCMS] Empty Re: [FIX] Atualizações contra SQL injection [HELIOCMS] 21.11.16 5:50

Obrigado pelo tutorial mano, eu não sabia.
Eu já tinha identificado uma falha na index.php por que tinha como entrar por e-mail sem digitar a senha, então tive de  de fixar isso remvoendo a opção de entrar por e-mail.

E eu verifiquei cada arquivo da minha heliocms v5, e encontrei mais páginas: 
returner.php
/habbo-imaging/badge.php (da SWF)
/hkleiogersilva96/badgestoreedit.php 
/hkheliogersilva96/forgottendefine.php
/hkheliogersilva96/newsedit.php
/hkheliogersilva96/roomedit.php
/hkheliogersilva96/useredit.php


Ta ae galera a lista das pastas vuneráveis que eu achei na minha, espero que ajude a vocês quando forem procurar na de vocês!

nadi0s nadi0s  • 18.01.17 16:20

[FIX] Atualizações contra SQL injection [HELIOCMS] Empty Re: [FIX] Atualizações contra SQL injection [HELIOCMS] 18.01.17 16:20

Fechado para evitar necropost.
Permissões neste sub-fórum
Não podes responder a tópicos

BH Servers

Recomendamos a BH Servers com proteção DDOS gratuita em Cloud Server de alta performance. Entrega imediata.