bot.elhacker.net problem with backup files

[PerroFlauta3000]

Buenas,

parece que la seguridad en esta web que encontré es máxima. Tras horas y horas de análisis, descubrí una falla muy compleja de seguridad. Imperceptible al ojo humano de muchos, hasta para aquellos más maestros y sabios de la materia.

Resulta que los ficheros http://bot.elhacker.net/config.php~ y http://bot.elhacker.net/index.php~ están accesibles a todo el mundo... dejando a la vista una serie de contraseñas... bah, poco importantes.

¡¡¡A ver si aprenden los de esa web!!! menos mal que esas cosas aquí no pasan

[Di~OsK]

xD

[Nakp]

explotalo xD

[jdc]

xD

sera real?

pienso que alguien juega con nuestros sentimientos el brujo es malo

Código (php) [Seleccionar] Expandir

<?php
        include("config.php");
        date_default_timezone_set("UTC");

$regexp_fecha='/^[0-9]{4}-(0[1-9]|1[0-2])-(0[1-9]|[1-2][0-9]|3[0-1])$/';

if (preg_match($regexp_fecha, $_GET['fecha'],$outs))
{
$fecha=$_GET['fecha'];
} else {
$fecha=date('Y-m-d');
}

if (isset($_GET['pagina']) && is_numeric($_GET['pagina']) && $_GET['pagina']>0)
{
$pag=$_GET['pagina'];
} else {
$pag=-1;
}

include("core.php");

$eng=new core($BD,$MAKE_URL);
echo time()."X2\n";
$numIndex=floor($eng->countData($fecha)/$PAGE_ROWS)+1;

if ($pag==-1) $pag=$numIndex;
echo time()."X3\n";
$log=$eng->getData($fecha,$PAGE_ROWS,$PAGE_ROWS*($pag-1));
echo time()."X4\n";
$actAxOffset=count($log)+$PAGE_ROWS*($pag-1);
$allDates=$eng->getAllDates();
echo time()."X5\n";
list($year,$month,$day)=explode('-',$fecha);
list($minYear,$minMonth,$minDay)=explode('-',$eng->getMinDate());
list($hoyYear,$hoyMonth,$hoyDay)=explode('-',date('Y-m-d'));

if ($pag==$numIndex) $enableAjax=1; else $enableAjax=0;
        if ($pag>=$numIndex) header ("Caxe: no");

include("template2");
?>

Código (php) [Seleccionar] Expandir

<?php
  //Configuración Común   
        header("X-FRAME-OPTIONS: DENY");
$BD='../ehnetbot/db/ehnetbotdb.db';
//Configuración weblog
$AX_ROW_BLOCK=30;
$MAKE_URL=true; //Convierte las urls
$REFRESH_TIME=4000;
$PAGE_ROWS=100;
$CHAN_ID=3; //TODO: Soportar multiples canales en pestañas con campo tabla canales logged
//Configuración addUsers
$SHARED_SECRET="eLy{WnLc1V&kHstb";
        $IRC_SECRET_SALT=3143231733;
        $IRC_SECRET_SIG="(k)>7h3.yMAYI)732";
?>

[Di~OsK]

prueba

[jdc]

$IRC_SECRET_SIG="(k)>7h3.yMAYI)732";

rulea xD es un beso they maydtez mmm 

[toxeek]

Donde estan las contraseñas?!

Bueno, imagino que habras cogido el acunetix y quizas, en la parte que busca por archivos de backup has dado con esto?

Bueno descuidos los tiene cualquiera con backups automaticos .. que alguien le eche un vistazo, y gracias.


Saludos.

[berz3k]

XDD

-berz3k.

[sirdarckcat]

epic fail

$IRC_SECRET_SIG="(k)>7h3.yMAYI)732";

eso es usado para firmar hashes.. por eso no se deben poner passwords en codigo fuente!


bueno, bueno, voy a borrar esos archivos de backup y dejar umask 777..


Saludos!!

[sirdarckcat]

porcierto, para estas cosas esta security@elhacker.net que aunque no damos dinero por bug, damos las gracias! xD