Đã tìm ra nguyên nhân mất thẻ ở TVWeb 1.85

[pikeman20]

Cuối cùng không có hướng giải quyết!

[pikeman20]

Hỏi các cao nhân thì trả lời như sau

- vì bác gọi ra là $file_log = "modules/".$module.".txt"; lên cũng ko lo gại vấn đề "include" file khác em ko bít à nha.
tốt nhất bác nên để như vầy $file_log = đường dẫn tuyệt đối; còn nếu có dùng include thì kiểm soát nó và hạn chế dùng thui vừa load lâu lại nguy cơ bác có thể dùng hàm file_get_contents nhất là file log vừa an toàn vừa kiểm soát được tình hình chức năng bác tìm hiểu tý nhé thằng hàm này nó ưu điểm là ko cho thực thi kể cả file php.

Cái đường dẫn tuyệt đối của "modules/".$module.".txt" là ở đâu?

[pikeman20]

Tạo cái trang đăng nhập cho forder log đi

[duyanh12285]

sử dụng auto nạp thẻ là xong ý mà

auto nap thẻ ko phải là 100%

đôi lúc đánh seri và mã thẻ thì lỗi thệ thống thanh toán...

lúc đó báo ko nạp dc thẻ và thẻ vẫn đi

[garllado]

Đổi tên /server thành tên khác rồi làm sao nó vô đc? Đặt thêm cái code cho trước khi vào file /log/index.php
Mà em nhớ thẻ trong TVweb được lưu trong database của server mà đâu có lưu trong file log của web đâu?
Em xài có thấy tình trạng mất thẻ nào?

[lastpr0]

Theo mình thấy, TVweb 1.85 đâu bị lỗi này. Mình đang dùng đây.
Đúng thật, là TVWeb thiếu rule chổ $_GET cho file Server/log/index.php
Nhưng đây chưa phải là vấn đề, nếu dòm code, ta có thể thấy 1 dòng cứu vớt kia mà ?
Trích nội dung 2 dòng mà chủ topic đề cập đến.
Dòng

$module = $_GET['module']; 

và

$action = $_GET['action']; 

Thật sự, đây là sơ xót của coder khi không kiểm tra biến đầu vào cho giao thức $_GET mà cho gán luôn vào.
Nhưng chính dòng bên dưới của 2 dòng này đã chặn đc hành vi của các attacker rồi,
cùng xem

$file_log = "modules/".$module.".txt"; 

Ta thấy, cho dù attacker dùng dot slash hay 2dot slash cũng k thể vượt qua cái rule bé tí này đâu ạ.

tôi ví dụ, index.php?module=../../config.php, khi vào code, có thể dịch là:

$file_log = "modules/../../config.php.txt"; 

Thế thì xin lỗi attacker, lúc này dòng path này không còn ý nghĩa nữa.
@chủ topic: bạn đã thật sự test chưa ? Bỏ 1 file test.ini ở ngoài folder root, rồi dot dot slash cái path ra xem đọc đc ko?
Cộng thêm, file log/index.php này không hề dùng hàm include, mà ở đây là fopen, cái mà chủ topic nói có lẽ nằm ở trang home của TVweb, nhưng ở home thì đã rule rồi

Nếu các bạn vẫn không yên tâm, thì có thể làm theo cách sau đây:
Mở file Server/log/index.php

Tìm

$module = $_GET['module']; 

Sửa dòng đó lại thành

if(preg_match('/^[A-Za-z0-9_]*$/', $_GET[module])) {    $module = $_GET['module'];} else { $module = ''; } 

Tương tự với dòng

$action = $_GET['action']; 

Thành

if(preg_match('/^[A-Za-z0-9_]*$/', $_GET[action])) {    $action = $_GET['action'];} else { $action = ''; } 

Vài lời mạo muội, nếu có hiểu sai ý xin thông cảm