حقیقت این کار از سر.... اب میخوره
a2.a20.ir
a9.a20.ir
x0.a20.ir
و..
ظرف 3 روز چند صد وبلاگ از میهن بلاگ به خاطر این باگ ناکار شدن :دی
این یه باگ Cross Site Scripting بود یعنی XSS
این باگ توسط xxx x x x کشف شد چندین ماه قبل وقتی سیستم جدید میهن بلاگ رو به کار شد و تازگی هم نداره ×××
ولی همین یک هفته پیش توسط یه فرد لاشی و اسکل این باگ نازنازی از حالت Prv8 به Public تنزل پیدا کرد و........
و هرکی هرکی شد
حالا کار این bug رو شرح میدم :
ابتدا یه کامنت به مدیر میفرستن و Title از این استفاده میکنن
بعد یه کوکی گرابر تو اون سایت که ما بهش منتقل میشیم میزارن و...
بعد کوکی ها تو یه فایل ذخیره میشن که قسمت phpside لازم میشه و بغییه هیچی :دی
و راحت با کوکی لاگین میکنن و تغییر پسورد و مالکیت وبلاگ
و روز اولی که پابلیک شد من فورا به مدیر میهن بلاگ میل زدم و قضیه رو گفتم و حتتی نحوه پچ کردن رو هم گفتم
ولی ظاهرا کسی به حرفم گوش نداد و گفتم به جهنم من که ضرر نمیکنم از اعتبار خودتون کم میشه
که خوشخبتانه بعد از چهارمین روز فاجعه ! باگ رو پچ کردن
ولی شوربختانه هنوزم که هنوزه یه جای دیگه کار میلنگه چون یه باگ نسبتا خفن هم پیداکردیم که ...
ولی مطمعن باشید این یکی اصلا پابلیک نمیشه چون کار هرکس نیست خرمن کوفتن و ادامه داستان
درضمن وقتی با چنین حالتی مواجه شدین فقط یک بار Log out کنید وبس واصلا هم لازم نیست پسورد رو عوض کنید و نگران باشید !!!
چون رو سرور کوکی همون لحظه ذخیره میشه و تا خارج نشین کوکی پابرجاست ولی وقتی خارج شدین کوکی از بین میره
