هشدار به تمام کاربران ام تی: کشف یک باگ امنیتی در ام تی!

[mbf]

با این تفاصیل یعنی اگر تنظیمات روی پیش فرض باشه هک نمی شه یا چی بالاخره؟
اینجوری که شاهد داره می گه یعنی هر کس اون پرمیشن ها رو توی mt.cfg تغییر بده قابل نفوذ می شه؟

یه خورده شفاف سازی کنین

 

[mAmluX]

با این تفاصیل یعنی اگر تنظیمات روی پیش فرض باشه هک نمی شه یا چی بالاخره؟
اینجوری که شاهد داره می گه یعنی هر کس اون پرمیشن ها رو توی mt.cfg تغییر بده قابل نفوذ می شه؟

یه خورده شفاف سازی کنین

تنظیمات باید به این صورت باشه

HTMLPerms 0644
UploadPerms 0644
HTMLUmask 0133
DirUmask 0022

هر چیزی غیر از این بزارید
مثلاً

HTMLPerms 0755
UploadPerms 0755

یا هر چیز دیگه ای این مشکل پیش میاد!
جالبه که تو راهنما های فارسی نصب ام تی خیلی کم روی این قسمت ها توضیح داده شده!
به هرحال حتماً یک بار تنظیمات وبلاگ خود را چک کنید

 

[mbf]

ممنون از توضیحات شما
فقط یه چیزی
ببینم وقتی می خوایم ام تی نصب کنیم پرمیشن فایلهای cgi رو عوض می کنیم
این مورد چی نمی تونه مشکل ساز بشه؟

 

[Shahed]

تنظیمات باید به این صورت باشه



هر چیزی غیر از این بزارید
مثلاً



یا هر چیز دیگه ای این مشکل پیش میاد!
جالبه که تو راهنما های فارسی نصب ام تی خیلی کم روی این قسمت ها توضیح داده شده!
به هرحال حتماً یک بار تنظیمات وبلاگ خود را چک کنید

755 که مشکلی نداره !

 

[mbf]

خب چی شد بالاخره؟
مشکل داره یا نداره؟

 

[Shahed]

خب چی شد بالاخره؟
مشکل داره یا نداره؟

نداره دیگه ! http://forum.persiantools.com/showpost.php?p=612536&postcount=3

 

[mbf]

خب ممنون خیالم راحت شد
ولی بیا یه خورده بیشتر توضیح بده که چه جوری می شه که مسئول سایت یا سرور بی توجهی می کنه و باعث بروز چنین اتفاقی می شه که سایتش هک شه؟
تا ما اون کار رو تکرار نکنیم

 

[shahkey]

برای منم 777 بود!
مطمئنم من عوض نکردم
3.17

 

[mAmluX]

755 که مشکلی نداره !

به جز

HTMLPerms 0644
UploadPerms 0644

اینها

HTMLUmask 0133
DirUmask 0022

هم تاثیر داره

 

[ITX]

آقا بدو بدو...تا هک نشدید...یه فکری کنید اینجا رو ببنید

http://www.jablogi.com/links/
البته این یکی از سایتهای جدید هک شده هست...ما خودمون توی این هفته 2 تا هکی داشتیم که از این طریق بود!!!!

و این

http://72.14.203.104/search?q=cache:o3aDNCzL8MgJ:www.ariahost.net/+"ariahost"&hl=en&ct=clnk&cd=1

حالا باید چی کار کردو...الان شاهد میاد میگه!

 

[shahkey]

اون دومی از ام تی استفاده کرده؟!

 

[mAmluX]

آقا بدو بدو...تا هک نشدید...یه فکری کنید اینجا رو ببنید

http://www.jablogi.com/links/
البته این یکی از سایتهای جدید هک شده هست...ما خودمون توی این هفته 2 تا هکی داشتیم که از این طریق بود!!!!

و این

http://72.14.203.104/search?q=cache:o3aDNCzL8MgJ:www.ariahost.net/+"ariahost"&hl=en&ct=clnk&cd=1

حالا باید چی کار کردو...الان شاهد میاد میگه!

من گفتم حواستون رو جمع کنید
شاهد هم هی گفت خودت این کار رو کردی
این ها همش از سهل انگاری مسئول سرور هستش

ولی من آخر نفهمیدم این دو تا لینک چه ارتباطی با هم داشت ؟

 

[ITX]

ربطی نداشت...این بود که مثل اینکه طوفان در راههههه

 

[Shahed]

اساتید !
شمایی که یه عمره اینکاره ای ! یه عمره سرت توی هاست و سایت و دامینه !
نمیدونی که به ویزیتور های عادی نباید دسترسی write روی پوشه ( اونم پوشه اصلی آرشیو !!) رو بدی؟

به هر حال اگه تاالان به این نکته توجه نکرده بودی الان برو نگاه کن و خونتو به قوله یارو مستحکم کن !!

 

[mbf]

خب یه خورده بیشتر توضیح بده شاهد جان که دقیقا باید چه کار کرد؟

 

[Shahed]

خب یه خورده بیشتر توضیح بده شاهد جان که دقیقا باید چه کار کرد؟

بابا یه ساعته قصه حسین کرد که نمیگیم که !

 

[Shahed]

من گفتم حواستون رو جمع کنید
شاهد هم هی گفت خودت این کار رو کردی
این ها همش از سهل انگاری مسئول سرور هستش

ولی من آخر نفهمیدم این دو تا لینک چه ارتباطی با هم داشت ؟

اون دومی کش گوگل بود مربوط به موقعی که هک شده بود.
خیلی زور داره ها ! گوگل که سالی 12 ماه وبلاگ مام نمیاد! بزنه یهویی وبلاگ هک بشه همون موقه هم کش کنتش !!

 

[mbf]

بابا یه ساعته قصه حسین کرد که نمیگیم که !

ببینم یعنی باید این کار رو بکنیم؟

http://forum.persiantools.com/showpost.php?p=614331&postcount=22

 

[lahijan_web]

خودتونو با این حرفا خسته نکنید این گروه (کاترینا) بخواد هر سایتی رو بزنه مطمئن باشید می زنه ربطی هم نداره که ام تی داشته باشه یا نه شما برید یه هاست توپ پیدا کنید اقایون مشکل از ام تی نیست مشکل اصلی از هاسته اینم یه راهنمایی توپ به شما که شما رو از سردر گمی در اورد اینم یکی دیگش که از ام تی استفاده نمی کرد فکر کنم هم بشناسیدش http://ce.sharif.edu/~kanani/

:blink: :blink: :blink: :wacko: :wacko: :wacko: :lol: :lol:

 

[Shahed]

خودتونو با این حرفا خسته نکنید این گروه (کاترینا) بخواد هر سایتی رو بزنه مطمئن باشید می زنه ربطی هم نداره که ام تی داشته باشه یا نه شما برید یه هاست توپ پیدا کنید اقایون مشکل از ام تی نیست مشکل اصلی از هاسته اینم یه راهنمایی توپ به شما که شما رو از سردر گمی در اورد اینم یکی دیگش که از ام تی استفاده نمی کرد فکر کنم هم بشناسیدش http://ce.sharif.edu/~kanani/

:blink: :blink: :blink: :wacko: :wacko: :wacko: :lol: :lol:

خوب من اسم این کار رو اصلا هک نمیزارم !
مراحل کار فقط آپلود کردن یه فایل توی یه دایرکتوریه !
اجازه ی آپلود رو هم که خودتون دادید !
عزیز جان مگه هک کردن کشکیه؟