Maxwebportal güvenlik sorunu

[barokat]

Merhaba, daha önce MwP 2,12 sürümü için sitenizde yayımlanan bütün güvenlik önlemlerini kendi siteme uyguladım. Ancak bugün birşey denerken forum bölümünde yeni konu açıldığında başlık kısmına <p><iframe src="http://www.siteadi.com" width="1" height="1"></iframe></p> şeklinde bir kod yapıştırdığımda bütün forumun bozulduğunu, önceki gönderilen tüm mesajların kaybolduğunu gördüm. Ayrıcı ana sayfada son 10 konuyu gösteren bölümünde bozulduğunu ve sayfadaki diğer tüm bilgilerin kaybolduğunu gördüm.

inc_function.asp dosyasında replace komutları ile ana mesaj ekranına yazılan bilgiler değiştirilerek bu tür saldırılara karşı önlem alınmış ancak anladığım kadarıyla Konu Başlığı metin kutusuna böyle bir kod yazıldığında böyle bir kontrol yapılmıyor. Bu sorunu yada açığı kapatmak için yardımlarınızı bekliyorum. Teşekkürler.

[AdmiN]

Kontrol edip sonucu buraya yazarım.

[barokat]

Adem bey, ilgilendiğiniz için teşekkür ederim.  Kendimce bu açığa karşı post_info.asp içerisine;

      if instr(txtSubject, "<")  or instr(txtSubject, ">") then
         Go_Result "Geçersiz bir karakter kullandınız!", 0
      end if

böyle bir kod ekledim. Yaptığım denemelerde bu kod "<" , ">" karakterlerini görüyor ve girişe izin vermiyor. Bu tamamen acemice yapılmış bir önlem. Bu nedenle sizden gelecek daha profesyonel bir önlemin uygulanması daha mantıklı olacaktır. Selamlar.

[burajan]

Siz o kodu başlık kısmına yazarken administrator olarak mı yazıyorsunuz yoksa normal üye olarak mı?

[barokat]

Normal üye olarak.

[AdmiN]

inc_functions.asp dosyasında aşağıdaki kodu bulun.

Kod: [Seç]

fString=replace(fString,"alert(","al ert(")
Kodun alt satırına aşağıki kodları ekleyin.

Kod: [Seç]


fString=replace(fString,"http-equiv","http equiv")
fString=replace(fString,"iframe","i frame")
fString=replace(fString,"MARQUEE ","MARQUE ")
fString=replace(fString,"onmouseover ","on mouseover ")
fString=replace(fString,"onmouseout","on mouseout")
Bu tür kod kontrolü forumda var.Fakat içinde iframe yoktu.Güncellemelere bu kodu da ekleyelim.