[問題] 被殖入iframe(SQL Injection攻擊嗎?)

[adachi]

在「版面描述」及「討論區描述」都被殖入iframe語法,連到一個惡意的網址

畢竟是更新到phpBB 2.0.15所發生的事情,
所以想了2個暫時的解決方法

1.把「版面描述」及「討論區描述」拿掉


2.限制「版面描述」及「討論區描述」的長度,讓iframe無法完整顯示\r
(第2個想法,不知道要怎麼修改?)


還有請問一下,這會是SQL Injection攻擊嗎?
以及還有別的防治方法嗎?

\r
●架設主機作業系統：Linux(付費虛擬主機)
●您的上網方式：CABLE
●您安裝的程式：
Apache 版本 1.3.33
PHP 版本 4.3.11
MySQL 版本 4.0.24-standard
●您的 phpBB2 版本：phpBB 2.0.15

[MoonMoon]

這兩個方案並不完美, 因為, 只要可以顯示到頁面的資料庫內的文字資料均可以植入 html 語句. 雖然可以用限制長度, 不過.... meta refresh 語句也不用太多字元.
phpbb 的編程方向沒有為資料庫輸出時作 html 預防準備, 如果要強化它的話, 就可能要大改動.

【建議】利用 php 的 strip_tags() 語句, 將大部份輸出的 array 移除 html

代碼: 選擇全部

STRIP_TAGS() This function removes HTML and PHP tags.
	string strip_tags (string str [, string allowable_tags])

這樣, 植入的一切 html 語句將不會影嚮頁面\r

【例如】移除 config 內的 html 或 php 語句\r

代碼: 選擇全部

common.php  (phpbb 2.0.15)

## [ FIND ]

while ( $row = $db->sql_fetchrow($result) )
{
	$board_config[$row['config_name']] = $row['config_value'];
}

## [ REPLACE ]

while ( $row = $db->sql_fetchrow($result) )
{
	$board_config[$row['config_name']] = strip_tags($row['config_value'], '<font><i>');
}

\n** 以上保留 <font><i> 的效果, 如不要的話\r
	$board_config[$row['config_name']] = strip_tags($row['config_value']);

善用改一些 $template->assign_block_vars( 輸出頁面的 array 才可以減小值入的 html 生效.

SQL Injection 是程式執行時的入侵漏洞, 不可避免, 因你不能永遠天天追更新的.

[MoonMoon]

補充一個, 如果是 Forum Description 的話\r

代碼: 選擇全部

index.php  (phpbb 2.0.15)

## [ FIND ]

								'FORUM_DESC' => $forum_data[$j]['forum_desc'],

## [ REPLACE ]

								'FORUM_DESC' => strip_tags($forum_data[$j]['forum_desc'], '<font><br><b><u>'),

[mirood]

請問要怎麼拿掉～
因為一進入後就會被連到一個惡意的網址～
利用SQL是如更改呢？

在「版面描述」及「討論區描述」都被殖入iframe語法,連到一個惡意的網址

畢竟是更新到phpBB 2.0.15所發生的事情,
所以想了2個暫時的解決方法

1.把「版面描述」及「討論區描述」拿掉


2.限制「版面描述」及「討論區描述」的長度,讓iframe無法完整顯示\r
(第2個想法,不知道要怎麼修改?)


還有請問一下,這會是SQL Injection攻擊嗎?
以及還有別的防治方法嗎?

\r
●架設主機作業系統：Linux(付費虛擬主機)
●您的上網方式：CABLE
●您安裝的程式：
Apache 版本 1.3.33
PHP 版本 4.3.11
MySQL 版本 4.0.24-standard
●您的 phpBB2 版本：phpBB 2.0.15

[chiouss]

還有請問一下,這會是SQL Injection攻擊嗎?

http://phpbb-tw.net/phpbb/viewtopic.php?p=239821#239821
*默*

[fankun]

我遇到過，當時是手動更改版面描述了，以後就沒事了，我想既然已經知道黑掉的原理和反黑的方法，再黑也就沒有意義了。

[ws108805]

我遇到過，當時是手動更改版面描述了，以後就沒事了，我想既然已經知道黑掉的原理和反黑的方法，再黑也就沒有意義了。

請問一下,之前友人論壇也有遇到過這種情況
但是討論區整個被刪,會員資料還在,
請問要如何還原之前分類的討論區,又要如何反黑謝謝

[心靈捕手]

我遇到過，當時是手動更改版面描述了，以後就沒事了，我想既然已經知道黑掉的原理和反黑的方法，再黑也就沒有意義了。

請問一下,之前友人論壇也有遇到過這種情況
但是討論區整個被刪,會員資料還在,
請問要如何還原之前分類的討論區,又要如何反黑謝謝

建議您:
1. 除非您有 '備份' 資料庫, 否則只好一切 '重建'
2. 升級討論區最新版 2.0.21
3. 適度開放 HTML 語法; 不建議開放 <frame> 語法