MyBB ซึ่งก่อนหน้านี้รู้จักกันในชื่อ MyBulletinBoard เป็นซอฟต์แวร์ฟอรัมโอเพ่นซอร์สฟรีที่ใช้ PHP &My SQL ล่าสุดพบว่ามีความเสี่ยงต่อ XSS (Cross-Site Scripting) และ RCE (Remote-code Execution) ที่เก็บไว้ที่สำคัญในเวอร์ชัน 1.8.20 และก่อนหน้านี้ ด้วยเหตุนี้ผู้ร้ายที่มีเพียงบัญชีผู้ใช้ในฟอรั่มสามารถจี้บอร์ดใด ๆ ได้โดยการส่งข้อความส่วนตัวที่เป็นอันตรายไปยังผู้ดูแลระบบหรือโดยการสร้างโพสต์ที่เป็นอันตราย
ช่องโหว่ที่สาเหตุ
ต่อไปนี้เป็นช่องโหว่ที่เป็นต้นเหตุหลักใน MyBB:
ข้อผิดพลาดในการแยกวิเคราะห์ในโพสต์และข้อความส่วนตัว
อย่างแรกคือข้อผิดพลาดในการแยกวิเคราะห์ที่ไม่เหมาะสมซึ่งตรวจไม่พบ JavaScript ดังนั้น เมื่อผู้ไม่หวังดีในฟอรัมเป้าหมายส่งข้อความส่วนตัวถึงผู้ดูแลระบบที่มีโค้ด JavaScript ที่เป็นอันตราย มันจะข้ามการรักษาความปลอดภัย นอกจากนี้ ช่องโหว่นี้ไม่ต้องการอะไรมากไปกว่าผู้ดูแลระบบในการเปิดเมล แฮ็กเกอร์ไม่จำเป็นต้องดำเนินการใดๆ เพื่อเข้าควบคุมบอร์ดอย่างเต็มที่ ทันทีที่ผู้โจมตีเปิด PM เขาจะสามารถเข้าถึงบัญชีผู้ใช้ เธรดส่วนตัว และข้อความทั้งหมดที่จัดเก็บไว้ในฐานข้อมูลของบอร์ดได้อย่างเต็มที่
ช่องโหว่ในการเรียกใช้โค้ดจากระยะไกล
ช่องโหว่ที่สองที่ฟอรัม MyBB มีคือ Remote Code Execution (RCE) ที่เก็บไว้ อย่างไรก็ตาม สามารถใช้ประโยชน์ได้โดยบุคคลที่ได้รับอนุญาตจากผู้ดูแลระบบเท่านั้น แต่เนื่องจากข้อผิดพลาดในการแยกวิเคราะห์ในข้อความส่วนตัวทำให้แฮ็กเกอร์สามารถควบคุมเว็บไซต์จากระยะไกลและจัดเก็บโค้ด PHP ที่เป็นอันตรายในฐานข้อมูลได้
เว็บไซต์ของคุณถูกแฮ็กหรือไม่ ตรวจสอบเครื่องสแกนมัลแวร์ PHP ของ Astra ตอนนี้
รายละเอียดทางเทคนิค
คำว่า 'การแยกวิเคราะห์' หมายถึงการวิเคราะห์สตริง โดยพื้นฐานแล้ว การแยกวิเคราะห์จะล้างข้อมูลอินพุตของผู้ใช้และแปลงเป็น mycodes หรือ bbcodes . นอกจากนี้ bbcodes ยังเป็นช่องทางเฉพาะในการฝังรูปภาพ ลิงก์ และวิดีโอลงในโพสต์
การแยกวิเคราะห์เริ่มต้นด้วยการละเว้นแท็ก HTML และเครื่องหมายคำพูดคู่ทั้งหมด จากนั้นไปแปลง bbcode เป็น iframe
แต่เนื่องจากข้อเท็จจริงที่ว่า bbcodes ถูกแปลงเป็นมาร์กอัป HTML ในขั้นตอนอื่น bbcode [url] ทำให้ src ของ iframe เสียหายโดยการแปลงเป็นมาร์กอัป HTML และเครื่องหมายคำพูดคู่ และผลลัพธ์นี้จะแสดงผล
หากไม่มีช่องโหว่ดังกล่าว จะไม่สามารถฉีด bbcodes ภายใน bbcodes อื่นได้ สิ่งนี้นำไปสู่ onload ตัวจัดการเหตุการณ์ถูกฉีดเข้าไปใน <iframe> แท็ก ตัวจัดการเหตุการณ์นี้จะทริกเกอร์ทันทีที่หน้าเว็บภายใน iframe ถูกโหลด ดังนั้นจึงไม่จำเป็นต้องมีการโต้ตอบกับผู้ใช้เพื่อเรียกโค้ด JavaScript ที่เป็นอันตราย
เว็บไซต์ของคุณถูกแฮ็กหรือไม่ ตรวจสอบเครื่องสแกนมัลแวร์ PHP ของ Astra ตอนนี้
อัปเดตเป็นเวอร์ชันล่าสุด
MyBB ได้แก้ไขช่องโหว่ในเวอร์ชัน 1.8.21 การอัปเดตเป็นเวอร์ชันนี้เป็นขั้นตอนทันทีที่คุณสามารถทำได้ นอกจากนี้ เพื่อให้แน่ใจว่าคุณจะไม่ตกเป็นเหยื่อของการโจมตีเหล่านี้ ติดตั้งไฟร์วอลล์แอปพลิเคชันเว็บ ไฟร์วอลล์ของเว็บแอปพลิเคชันมีระบบตรวจสอบอย่างต่อเนื่องและเพิ่มการป้องกันให้กับเว็บไซต์ของคุณ
Astra Firewall เป็นไฟร์วอลล์ชนิดหนึ่งที่ปกป้องเว็บไซต์จาก XSS, SQLi, CSRF, Bad bots, OWASP top 10 &100+ การโจมตีทางไซเบอร์อื่น ๆ นี่คือลักษณะของแดชบอร์ด Astra -
รับการสาธิต Astra ตอนนี้!
