Anda mungkin pernah melihat forum di mesin vBulletin berkali-kali. Forum seperti itu sudah tidak populer lagi, namun vBulletin masih menjadi salah satu mesin yang paling populer. Pada versi terbaru (kelima), ditemukan beberapa kerentanan yang dapat sangat merusak kehidupan seorang administrator. Pada artikel ini saya akan memberi tahu Anda cara penggunaannya.

Masalah pertama adalah pemfilteran data pengguna yang salah. Hal ini dilaporkan oleh peneliti keamanan independen yang tidak mau disebutkan namanya. Kerentanannya, meskipun memiliki beberapa keterbatasan, telah menerima status kritis karena memungkinkan Anda membaca file apa pun dan mengeksekusi kode arbitrer pada sistem target.

Kerentanan kedua ditemukan oleh peneliti dari TRUEL IT dan mendapat pengenal CVE-2017-17672. Ini terkait dengan fitur deserialisasi data di mesin dan dapat digunakan oleh penyerang untuk menghapus file sembarangan di sistem.

Laporan lengkap yang merinci kedua masalah tersebut telah diterbitkan sebagai bagian dari program Beyond Security SecuriTeam. Ada juga eksploitasi PoC untuk menunjukkan kerentanan. Mari kita bahas semua ini secara berurutan.

Persiapan

Saya menggunakan distribusi WAMP sebagai server.

Baca file, jalankan perintah

Jadi, alasan kerentanan pertama adalah logika yang salah saat memproses parameter routingstring, yang memungkinkan penyerang memasukkan file apa pun ke disk melalui penyertaan dan mengeksekusi kode PHP yang ada di dalamnya.

Jalur kita dimulai dengan file terpenting - index.php, tempat inisialisasi dasar aplikasi berlangsung.

/index.php

48: $aplikasi = vB5_Frontend_Application::init("config.php"); ... 60: $routing = $app->getRouter(); 61: $metode = $routing->getAction(); 62: $template = $routing->getTemplate(); 63: $kelas = $routing->getControllerClass();

Mari kita lihat metode vB5_Frontend_Application::init.

/includes/vb5/frontend/application.php

13: kelas vB5_Frontend_Application memperluas vB5_ApplicationAbstract 14: ( 15: fungsi statis publik init($configFile) 16: ( 17: parent::init($configFile); 18: 19: self::$instance = new vB5_Frontend_Application(); 20: self::$instance->router = baru vB5_Frontend_Routing(); 21: mandiri::$instance->router->setRoutes();

Di sini kami tertarik dengan metode setRoutes.

47: fungsi publik setRoutes() 48: ( 49: $this->processQueryString(); ... 54: if (isset($_GET["routestring"])) 55: ( 56: $path = $_GET[" string rute"];

Variabel $path berisi nilai data pengguna dari parameter routingstring. Anda dapat meneruskan jalur ke halaman forum ke dalamnya, dan itu akan dimuat.

Katakanlah kita lulus /test .

Setelah menetapkan variabel, ada sepotong kode yang menghilangkan garis miring di awal baris, jika ada.

/includes/vb5/frontend/routing.php

75: if (strlen($path) DAN $path(0) == "/") 76: ( 77: $path = substr($path, 1); // $path = "test" 78: )

termasuk\vb5\frontend\routing.php

83: if (strlen($path) > 2) 84: ( 85: $ext = strtolower(substr($path, -4)) ; 86: if (($ext == ".gif") OR ($ext == ".png") ATAU ($ext == ".jpg") ATAU ($ext == ".css") 87: OR (strtolower(substr($path, -3)) == ".js" )) 88: ( 89: header("HTTP/1.0 404 Tidak Ditemukan"); 90: die(""); 91: ) 92: )

Seperti yang Anda lihat, ceknya cukup aneh. Paling tidak, kehadiran daftar ekstensi terlarang yang ditulis langsung ke dalam kode memang membingungkan. Dan secara umum, fakta bahwa ekstensi diperoleh dengan memotong empat karakter dari akhir baris (baris 85) sungguh membingungkan. Secara umum, jika kita mencoba menerima file dengan ekstensi gif, png, jsp, css atau js, server akan mengembalikan halaman 404 dan skrip akan berhenti dijalankan. Ketika semua pemeriksaan lolos, metode getRoute dari kelas vB_Api_Route dipanggil menggunakan callApi. Ia mencari rute yang sesuai berdasarkan informasi yang diberikan oleh pengguna.

Kelanjutan hanya tersedia untuk anggota

Opsi 1. Bergabunglah dengan komunitas “situs” untuk membaca semua materi di situs

Keanggotaan dalam komunitas dalam periode yang ditentukan akan memberi Anda akses ke SEMUA materi Peretas, meningkatkan diskon kumulatif pribadi Anda dan memungkinkan Anda mengumpulkan peringkat Skor Xakep profesional!

Keuntungan utama:

• Kerangka basis data yang cepat dan efisien
• Antarmuka yang terdiri dari templat
• Mesin pencari yang kuat
• Dukungan multi-bahasa
• Profil Pengguna
• Panel admin yang kuat dan nyaman
• Jumlah bagian/topik/pesan tidak terbatas
• Pemberitahuan melalui email
• dukungan COPPA

Karena pabrikan tidak menyediakan demo forum yang dapat diinstal, saya harus menginstal versi kiri, diunduh dari beberapa Vareznik. Jadi petunjuknya mungkin tidak sama persis dengan proses instalasi di forum perizinan. Setelah instalasi, situs tersebut telah dihapus dan tidak digunakan untuk tujuan yang dimaksudkan.

Untuk menginstal vBulletin, buka panel kontrol hosting (tombol dengan roda gigi di sebelah urutan hosting dalam penagihan), di sana di "Manajer File", di dalamnya kita pergi ke direktori "www". Klik tombol "Unggah file ke direktori saat ini":

Tentukan jalur ke file di komputer Anda:

Pilih arsip dengan vBulletin dan buka paketnya:

Kami menghapus file dan direktori yang tidak kami perlukan, termasuk direktori domain www kami - asalkan Anda tidak memiliki apa pun yang Anda perlukan di sana. Jika Anda tidak meletakkannya di root situs, atau ada sesuatu yang diperlukan di direktori situs, tidak perlu menghapus direktori domain www:

Pilih direktori dengan penginstal vBulletin dan ganti namanya:

Masukkan nama situs kami sebagai nama direktori:

Buka bagian "Database" pada panel kontrol hosting:

Membuat basis data baru data MySQL, dan pengguna, dengan hak penuh mengaksesnya:

Harap dicatat bahwa pengguna dan database secara otomatis menerima awalan berdasarkan nama akun Anda di server hosting:

Ayo pergi ke halaman rumah situs kami, kami mendapatkan kesalahan vBulletin berikut:

Kami memasukkan jalur ke penginstal di bilah alamat, tambahkan "install/install.php", setelah itu program instalasi forum vBulletin dimulai:

Penginstal vBulletin memeriksa keberadaan file berikut:

Langkah selanjutnya cek koneksi ke database, tidak lolos - karena... File konfigurasi forum berisi data yang salah:

Kami kembali ke panel kontrol hosting, manajer file, buka direktori dengan forum, lalu subdirektori “termasuk”. Buka file "config.php":

Kami memasukkan data yang benar dari database ke dalam file konfigurasi, setelah itu kita tutup:

Kami kembali ke situs, ke penginstal. tekan "F5", kali ini semuanya baik-baik saja, koneksi ke database telah berkembang bersama:

Penginstal vBulletin membuat tabel di database:

Penginstal vBulletin mengubah tipe beberapa tabel:

Data dimasukkan ke dalam database:

Bahasa yang diimpor:

Gaya diimpor:

Bantuan diimpor:

Kami tidak menyentuh pengaturan default; program instalasi vBulletin menentukan semuanya dengan benar:

Pengaturan default diimpor:

Masukkan detail administrator vBulletin:

Administrator vBulletin telah berhasil ditambahkan:

Instalasi vBulletin di hosting telah berhasil diselesaikan:

Mengikuti saran terakhir penginstal, hapus file yang tidak perlu:

Anda dapat mengunjungi forum vBulletin untuk memastikan semuanya berfungsi dengan benar:

Pilih mesin forum. IPB, vBulletin, Phpbb

Mesin forum adalah hal yang diperlukan untuk situs yang serius. Prinsipnya sudah diketahui: situs web apa pun harus interaktif. Ada banyak cara untuk mencapai interaktivitas, mulai dari komentar, artikel, hingga tematik Anda sendiri jaringan sosial. Forum ini mungkin merupakan alat yang paling universal masukan dengan pengunjung.

Forum ini memungkinkan Anda untuk:

Ciptakan audiens permanen pengguna situs yang akan terus kembali dan aktif. Aktivitas pengunjung adalah uang sungguhan.

Menghemat konten. Jika Anda membuat forum, maka konten akan dibuat oleh pengguna, dan pemiliknya tidak perlu membeli dalam jumlah besar teks untuk promosi.

Memperluas inti semantik situs. Membuat forum memungkinkan, tanpa banyak usaha dari pihak pemilik, untuk memperluas jumlah permintaan yang mempromosikan situs tersebut.

Menginstal mesin forum adalah proses yang sederhana, namun pengaturan dan administrasi lebih lanjut dapat menyebabkan banyak kesulitan bagi pemula. Namun, ada banyak sekali dokumentasi untuk setiap mesin populer, jadi jika Anda mau, Anda dapat memahami semuanya. Atau pekerjakan administrator profesional.

Secara umum, sebagian besar mesin cukup cocok untuk pengoperasian normal forum, mereka memiliki fungsi dasar yang kurang lebih sama, termasuk sistem yang fleksibel untuk mengatur hak akses bagi pengguna. Mereka dibedakan berdasarkan kemudahan administrasi, seperangkat templat dan plugin, keandalan dan dukungan teknis dari pabrikan. Saya akan memulai ulasan dengan tiga teratas di Runet: Phpbb mungkin adalah mesin paling populer untuk membuat forum di Runet. Untuk pemula, keuntungan utama Phpbb adalah mesin forum itu sendiri dan semua jenis add-on gratis. Ada juga banyak komunitas penggemar Phpbb yang berbeda, baik di Internet berbahasa Rusia maupun di luar negeri.

Keuntungan lainnya termasuk kecepatan operasi, kesederhanaan dan fleksibilitas pengaturan yang relatif, jumlah besar templat dan add-on. Jika Anda membuat forum di phpbb, maka forum tersebut dapat digunakan sebagai bagian dari situs (ada kemungkinan integrasi dengan banyak cms), tetapi Anda juga dapat membuat situs portal yang kurang lebih lengkap berdasarkan forum tersebut.

Namun ada juga kelemahan Phpbb - ia sangat rentan terhadap serangan spam dan peretasan dengan memasukkan kode seseorang. Untuk menghindari hal ini, Anda perlu menginstal add-on khusus untuk melindungi dari spam, dan juga memperbarui mesin secara berkala dengan menginstal versi baru. Sayangnya, hal ini tidak selalu memberikan perlindungan 100%, jadi Anda harus memantaunya sendiri secara manual atau dengan menunjuk moderator. Anda dapat mendownloadnya di situs resminya https://www.phpbb.com/

IPB (Invision Power Board) adalah mesin forum berbayar yang langsung membuat takut sebagian besar pemula. Namun, jika proyek ini dimaksudkan untuk menjadi serius, maka jumlah sekitar $200 untuk IPB tidak akan menghentikan tekad seorang webmaster. Namun pikirkan sepuluh kali apakah Anda siap, bahkan demi kemungkinan yang sangat luas, untuk terus-menerus membuat ulang mesin IPB untuk diri Anda sendiri, dengan risiko mempersulit dukungan dan pembaruan Anda.

Sistem ini memiliki banyak kemungkinan untuk diintegrasikan layanan yang berbeda– berbagai cms, blog, chat, galeri foto, dll. Mungkin, portal di mesin ini dapat dianggap sebagai situs web yang sepenuhnya lengkap, tentu saja, dengan pengaturan tertentu.

Dan di sini ada kemajuan yang signifikan - mesin IPB jarang diperbarui, pengguna sendiri bertindak sebagai penguji, yang sendiri menemukan kerentanan dan kesalahan. Bagaimanapun, kode tersebut akhirnya menjadi "bengkok" dan kurang optimal. Tidak ada komunitas penggemar Rusia yang berkualitas tinggi; semua masalah harus diselesaikan secara mandiri. Pelokalan bahasa Rusia juga jauh dari sempurna; file bahasa sering kali harus diedit untuk tampilan normal.

Karena kerumitan dan kesalahan kode, forum di IPB hanya ditampilkan dengan benar di FireFox; di browser lain mungkin ada masalah kecil.

Mungkin juga ada masalah saat memutakhirkan dari versi kedua ke versi ketiga - struktur skin dan kelas telah berubah, dan jika forum telah dimodifikasi, pemutakhiran akan menjadi masalah.

Sistem template IPB sangat membingungkan, berubah penampilan tidak semudah itu, Anda perlu “memasukkan” banyak file. Desain standarnya lumayan dan cukup familier - tetapi standar, yang dengan sendirinya dapat menjadi kelemahan signifikan bagi banyak orang. Anda dapat mengunduh Invision Power Board di situs resminya http://www.invisionpower.com/apps/board/
vBuletin (vb). DI DALAM Segmen berbahasa Rusia Internet vBulletin secara tradisional disebut “vobla” atau “bun”. Ini mungkin mesin terbaik pembaruan gratis selama ini) sepenuhnya dibenarkan dan pasti akan terbayar dengan menghemat waktu dan kegelisahan. Segala sesuatu di sini bekerja seperti jarum jam. Cukup jelas mengapa uang itu diambil - mesin vBulletin terus ditingkatkan, dan jelas bahwa pemrogram profesional sedang mengerjakannya, dan bukan hanya penggemar.

Tidak ada gunanya mencantumkan semua fungsi - fungsi (atau add-on) mengimplementasikan hampir semua yang mungkin diperlukan administrator untuk membuat forum. Ada multi-kutipan, dan dukungan untuk podcasting, dan komunitas pengguna, dan kelompok sosial, dan sistem reputasi yang fleksibel dan banyak lagi.

Tentu saja vBulletin memiliki jumlah add-on dan komunitas pengguna yang banyak, sehingga tidak akan ada masalah dalam pemeliharaannya, apalagi ada tim support resminya. Kekurangan vBulletin, meski tidak terlalu besar, adalah penambahan berbayar, misalnya untuk blog pengguna.

Secara umum, forum ini tidak memiliki kekurangan. Ini dapat direkomendasikan untuk proyek besar yang serius justru karena keandalan dan ketahanannya terhadap segala jenis serangan. Akibatnya, ini menimbulkan beban yang signifikan pada server, terutama dengan add-on yang diinstal, tetapi untuk proyek yang serius mereka biasanya menggunakan server yang serius dan administrator yang serius. Anda dapat mendownloadnya di website resminya http://www.vbulletin.com/

SMF (Forum Mesin Sederhana).

Mesin sederhana yang dapat ditangani oleh setiap pemula. Kesederhanaannya diimbangi dengan kurangnya fungsionalitas, namun tidak semua orang membutuhkan serangkaian fitur lengkap. Instalasi plugin (mod) diatur dengan mudah di mesin; mereka dapat diunduh dan diinstal langsung dari panel admin hanya dengan beberapa klik. Panel administratifnya agak tidak biasa, namun bagi pemula hal ini tidak merugikan, karena ia tidak memiliki pengalaman atau kebiasaan dengan mesin lain. Ketidaktahuan bukan berarti ketidaknyamanan. Keunggulan lainnya adalah kehadirannya jumlah besar

konverter untuk beralih dari mesin lain.

Forum ini sangat handal dalam hal hacking, dan spam... yah, spam adalah masalah abadi yang perlu dan bisa dilawan. Terlepas dari kenyataan bahwa SMF gratis, pengembang dan pengguna berpengalaman memberikan bantuan kepada semua orang yang membutuhkan di forum resmi proyek.

Dewan Intelek (IntBoard).

Mesin forum untuk penggemar, ditulis oleh seorang penggemar dan berhasil ditinggalkan olehnya. Namun, pengabaian bukanlah alasan untuk tidak merekomendasikannya.

Mari kita bicara tentang kekurangannya segera. Masalah seringkali muncul tiba-tiba, dukungan yang kurang sekelas, forum resmi bisa dibilang sudah mati, dan pemilik forum di engine ini jarang merespon disana. Praktis tidak ada add-on atau templat - Anda harus melakukan semuanya sendiri.

Tapi ada juga kelebihannya. Kode mesinnya cukup sederhana sehingga bahkan seorang pemula pun dapat mengetahuinya sendiri dan memperbaiki beberapa masalah, serta menyesuaikan beberapa fungsi untuk dirinya sendiri. Mesinnya sangat ringan dan menimbulkan sedikit beban pada server. Panel admin sangat non-standar, tetapi mungkin memiliki peluang terbaik untuk mengonfigurasi hak bagi pengguna; sistem grup dan hak akses ke setiap bagian tertentu akan memungkinkan Anda menciptakan sistem moderasi yang kuat dan efektif. PunBB. Sederhana mudah

sebuah mesin dengan komunitas yang cukup kuat yang akan membantu memecahkan masalah yang muncul. Tidak menuntut sumber daya server. Panel administratifnya intuitif. Tata letak dibuat dengan bantuan css

, sehingga pemula yang terbiasa dengan tata letak tabel akan merasa tidak biasa dalam mengedit template. Namun, ini juga merupakan nilai tambah - inilah saatnya menguasai teknologi modern.

Kelemahan seriusnya adalah tingginya ketersediaan spam - Anda perlu memantaunya secara manual, selain plugin yang diinstal.

ExBB adalah mesin gratis, kekhasannya adalah ia bekerja dengan database teks tanpa menggunakan MySQL. Mungkin 10 tahun yang lalu ini merupakan keuntungan - situs seperti itu menghasilkan lebih sedikit beban, dan hosting dengan dukungan database jauh lebih mahal. Saat ini semua hosting mendukung MySQL, dan database teks merupakan kelemahannya; mereka jauh lebih lambat dan kurang dapat diandalkan.

Namun, Anda dapat membuat forum menggunakan cms ini untuk situs kecil yang diperkirakan tidak akan menerima banyak pengunjung dan pesan. Mudah dipasang, mudah dirawat, dan memiliki jumlah pengguna yang banyak serta forum dukungan di situs resminya. Vanilla – mesin yang kurang dikenal ini diposisikan sebagai tambahan untuk Wordpress, salah satu cms paling populer. Di antara fitur standar

Sistem pesan pribadi diterapkan dengan cara yang tidak biasa - pesan tersebut dipublikasikan seperti topik biasa, tetapi hanya dapat dilihat oleh orang yang dituju. Dalam topik apa pun, selain topik umum, Anda dapat meninggalkan pesan pribadi. Tidak biasa, tapi cukup nyaman. Secara umum, tampaknya para pengembang memutuskan untuk membuat forum yang berbeda dari forum lainnya. Apakah ini plus atau minus, terserah Anda.

Secara umum, ada banyak mesin - Anda dapat mencobanya, Anda dapat langsung memilih sesuatu yang populer, Anda bahkan dapat menulis atau memesan sesuatu sendiri. Tidak mungkin untuk mengatakan dengan pasti opsi mana yang optimal untuk setiap kasus tertentu.

Administrasi layanan tersebut biasanya tidak bertanggung jawab atas apa pun, jadi jika forum Anda menghilang pada saat yang tepat, paling-paling mereka akan meminta maaf.

Di artikel selanjutnya saya akan memberi tahu Anda apa saja yang ada

Untuk tujuan informasi saja. Administrasi tidak bertanggung jawab atas isinya.

Unduh secara gratis.

vBulletin Connect v5.3.3 adalah paket forum yang kuat, terukur, dan dapat disesuaikan sepenuhnya untuk situs web Anda. Versi:

5.3.3 (Dibatalkan oleh vBSupport.org)
Persyaratan minimum php 5.6
Kompatibel dengan php 7.1 Pada instalasi baru
Anda perlu mengganti nama file htaccess.txt menjadi .htaccess

Saat memperbarui, hapus folder font (sebelum memulai pembaruan).
Fitur baru:
UI baru dengan integrasi sosial yang luas;
Dioptimalkan untuk perangkat seluler;
Instalasi, manajemen dan konfigurasi yang disederhanakan;
Arsitektur database baru untuk pencarian yang lebih baik dan kinerja yang lebih baik;
Perubahan konten dinamis yang nyaman;
Tingkat lanjut untuk berbagi video dan gambar;
Integrasi penuh dengan VigLink;

Lebih dari 100 fitur dan peningkatan baru lainnya;
Aplikasi bawaan:
Forum diskusi
Grup
Jajak pendapat

blog
Optimasi Mesin Pencari:
URL ramah SEO

Tag META Kata Kunci/Deskripsi Khusus
Fleksibilitas:
Profil pengguna yang dapat diperluas
Penulisan ulang URL
Lokalisasi antarmuka

Metadata
Kepatuhan dengan standar:
Sindikasi Konten (RSS)
Sindikasi konten: RSS, Atom, XML

Kompatibel dengan PHP v5.4
Sistem terintegrasi yang tidak terputus:
Satu-satunya login yang terlibat
Sistem resolusi tunggal
Satu-satunya panel kontrol admin

Ciptakan Gaya/Tema yang berkesinambungan melalui Artikel, Blog, Forum
Dasbor untuk setiap peran:
Kontrol administratif
Panel Kontrol Moderator
Panel Kontrol Kustom
Mesin template yang kuat untuk penyesuaian tingkat lanjut

Kontrol Pengguna:
Sistem multi-pengguna dengan peran dan kekuasaan tidak terbatas
Kelompok yang terlibat
Keamanan
Kekuatan granular
Pemberitahuan masalah
SSL yang kompatibel
Captcha
Konfirmasi alamat email
Panel kontrol editor berita administrator
Masuk sistem "serang".
Perubahan Email dan Kata Sandi memerlukan kata sandi saat ini
Sesuai dengan Undang-Undang Perlindungan Privasi Online Anak (COPPA) 1998

1. Buka panel kontrol administrator:
Bahasa & Frasa - Unduh / Unggah Bahasa.
2. Di bidang "Unggah file XML dari komputer Anda", masukkan jalur ke
file vbulletin-lingual_ru.xml di komputer Anda.
3. Pada opsi "Timpa Bahasa", pilih "Buat Bahasa Baru"
4. Pada kolom "Judul Bahasa yang Diunggah", masukkan nama bahasa.
Jika tidak ada data yang dimasukkan, bahasanya akan disebut "Rusia (RU)"
5. Setel "Ya" ke "Abaikan Versi Bahasa"
6. Setel "Ya" ke "Baca Charset dari File XML"
7. Klik tombol "Impor" dan tunggu hingga proses pengunduhan selesai.
7A Jika Anda mau, Anda bisa melakukannya bahasa baru Bahasa "Bawaan".
dengan mengklik tombol "Default" / "Nilai Default" di sebelahnya.