iDevAffiliate vulnerabile a un caricamento di file, come possiamo limitare il danno?

1

Il software di affiliazione iDevAffiliate fornisce software di affiliazione per avviare il monitoraggio delle affiliazioni. È protetto da ioncube che rende piuttosto difficile il controllo del codice per la vulnerabilità.

È il punto di ingresso per un attacco che è culminato con il caricamento di una shell php, riflessa nei log HTTP.

Purtroppo non sono in grado di sostituire o disabilitare facilmente il software. Mi chiedo se posso "brick" in modo che possa essere effettivamente "incarcerato" sul posto.

È possibile eseguire il chroot delle applicazioni PHP?

    
posta sandy crack 28.12.2016 - 13:25
fonte

1 risposta

1

Non dovrebbe importare se un utente è in grado di caricare una shell PHP; non dovresti mai eseguire file caricati dall'utente. Cioè, separali in un'area completamente diversa dal tuo codice in modo che il server web non li interpreti. Puoi farlo con le regole di configurazione scope, a seconda del tuo webserver, ma un approccio ancora migliore è metterli direttamente su un datastore separato (ad esempio, S3) e utilizzare un dominio separato per servirli, direttamente da quel servizio o tramite un CDN come intermediario.

    
risposta data 28.12.2016 - 18:31
fonte

Leggi altre domande sui tag