Dołącz do zespołu ekspertów! Backend lub Frontend Developer?

Sprawdź najnowsze oferty pracy naszego partnera - 8lines.io!

Czy można włączyć na forum CSRF?

Założony przez  grzesiekw.

03.10.2014, 09:39 (Ten post był ostatnio modyfikowany: 03.10.2014, 18:11 przez Snake_.)
#1
wersja skryptu MyBB: 1.8
adres forum:
na czym polega problem (screen, opis, komunikaty):

Czy można włączyć na forum CSRF?
03.10.2014, 10:19
#2
Nie można!
03.10.2014, 10:25
#3
To z innej strony :) Czy istnieją jakieś pluginy poprawiające bezpieczeństwo?
03.10.2014, 11:02 (Ten post był ostatnio modyfikowany: 03.10.2014, 11:04 przez gloverek.)
#4
A w jakim celu ?
Co najwyżej możesz używac pluginów, które posiadają luki bezpieczeństwa i pozwalają na użycie CSRF ;)
W ogóle wiesz co to jest ?
03.10.2014, 11:06
#5
Wiem co to jest CSRF :)

Chodzi mi o to, że myBB jest podatne na ataki typu CSRF czy SQL Injection i chiałbym się dowiedzieć czy istnieje jakiś prosty sposób na poprawę bezpieczeństwa.
03.10.2014, 11:50
#6
MyBB jest jednym z bezpieczniejszych skryptów, korzystanie z pluginów, które mają takie luki, znacząco obniża bezpieczeństwo.
Więc nie ma możliwości takiego ataku, a jeżeli byłby, na pewno byłby fix na dniach.
03.10.2014, 12:27 (Ten post był ostatnio modyfikowany: 03.10.2014, 12:28 przez Destroy666.)
#7
Jeśli znasz jakieś prawdziwe luki zabezpieczeń (czyli nie fałszywe pozytywy z byle jakich skanerów) i umiesz opisać je w j. angielskim, możesz zgłosić je tutaj: http://community.mybb.com/forum-135.html

Jeśli będą dotyczyć samego skryptu MyBB i nie zostały zgłoszone wcześniej, możesz zostać wspomniany tutaj: http://www.mybb.com/get-involved/security/hall-of-fame/

Z kolei jeśli będą dotyczyć pluginów, zostaną one usunięte z oficjalnej bazy modów aż do chwili naprawy luk.

Możesz też wysłać mi PW i sprawdzę czy to faktycznie jest coś niebezpiecznego.
Moje pluginy MyBB / Mój Github
03.10.2014, 12:49
#8
(03.10.2014, 12:27)Destroy666 napisał(a): Jeśli znasz jakieś prawdziwe luki zabezpieczeń (czyli nie fałszywe pozytywy z byle jakich skanerów)

Trochę ciężko się nie przejmować raportem ze skanera na 230 strony :)
Ale dzięki za wskazówki.
03.10.2014, 13:15
#9
(03.10.2014, 12:49)grzesiekw napisał(a): Trochę ciężko się nie przejmować raportem ze skanera na 230 strony :)

No to już masz dowód na to, że ten skaner jest do czterech liter. Myśl logicznie - z taką ilością luk każde forum MyBB mogłoby zostać złamane w 10 minut przez przeciętnego 'hakera' z liceum z Nowej Wsi. Przeskanuj nim google, jestem ciekaw ile tam błędów Ci wskaże i czy też będziesz tak naiwny, że w nie uwierzysz... Już bardziej obawiałbym się ataku Yeti na mój dom niż przejmowałbym się jego wynikami.
Moje pluginy MyBB / Mój Github
03.10.2014, 22:23
#10
Co do CSRF - jeżeli wiesz co to jest, popatrz w kod formularzy i poszukaj tokenu...
05.10.2014, 11:31
#11
(03.10.2014, 22:23)lukasamd napisał(a): Co do CSRF - jeżeli wiesz co to jest, popatrz w kod formularzy i poszukaj tokenu...

Dla przykładu. W standardowej akcji logowania - tokenu brak.


Załączone pliki Miniatury
   



Użytkownicy przeglądający ten wątek:

2 gości