有用 PHPHub 搭建社区的兄弟么？发现了个高危漏洞！

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3334 天前的主题，其中的信息可能已经有所发展或是发生改变。

鄙人自己在折腾个 Swift 的社区 http://swiftcn.io

在修改代码时发现了个严重漏洞，能在没授权的情况下删除网站数据，并已经在作者网站验证过，给作者发邮件好几天了，也没见回，也不知道是不是发邮件的姿势不对，所以想到了吼一声。

由于漏洞危险级别急高，就不公布细节了。如果有人也用这份代码搭建社区，可以联系我要漏洞细节和修复代码。

提前祝大家中秋快乐

来给我涨个用户呗^_^

漏洞

代码

社区

phphub

44 条回复 • 2015-09-26 06:47:48 +08:00

virusdefender

2015-09-25 11:48:44 +08:00

http://wooyun.org/bug/submit

ibcker

2015-09-25 11:51:08 +08:00

@virusdefender 好办法···

jadecoder

2015-09-25 11:51:53 +08:00

[并已经在作者网站验证过]

所以你把作者网站删了么？

ibcker

2015-09-25 11:53:29 +08:00

@jadecoder ···是的···我已经发邮件去道歉了·····删了一丢丢数据···

2015-09-25 12:04:49 +08:00

这个有匿名发表文章和评论的功能吗？

lxjsmdc

2015-09-25 12:07:30 +08:00

提交到这里
http://wooyun.org/bug/submit
然后得到邀请码或者自己注册账号把账号拿去能卖个 300 左右

justjavac

2015-09-25 12:08:57 +08:00 via Android

Flarum 有漏洞没？

falcon05

2015-09-25 12:14:43 +08:00

楼主的网站打开蛮快的

lincanbin

2015-09-25 12:14:50 +08:00

https://github.com/lincanbin/Carbon-Forum
我这个有吗？

virusdefender

2015-09-25 12:16:09 +08:00

@ibcker 这种问题最好不要私下通知，防止各种纠纷，尤其是和公司打交道。

tianrunlin

2015-09-25 12:17:09 +08:00

@lxjsmdc 能值 300 ？

ibcker

2015-09-25 12:17:14 +08:00

@falcon05 北京机房是比较快·

ibcker

2015-09-25 12:19:08 +08:00

@virusdefender 涨姿势了····

zhicheng

2015-09-25 12:20:55 +08:00

TextArea.com 有吗？

Moker

2015-09-25 12:21:51 +08:00

是自己 PHPHUB 本身的问题还是 laravel 的问题？

ibcker

2015-09-25 12:22:50 +08:00

@Moker PHPHUB 的

powtop

2015-09-25 12:27:35 +08:00

@ibcker 乌云邀请码便宜要了哥们 :dog

GPU

2015-09-25 13:16:43 +08:00

@lxjsmdc 300 元已经是很久以前的价格了。

trimleo

2015-09-25 13:18:22 +08:00

我联系一下感谢楼主反馈

chuanwu

2015-09-25 13:18:40 +08:00

300 要了哈哈哈哈哈...

xuxu

2015-09-25 14:45:24 +08:00

呼能提示一下吗？我搭了一个

mornlight

2015-09-25 15:11:39 +08:00

哈哈哈哈哈，能告诉我你是怎么发现的么

Newbing

2015-09-25 15:22:08 +08:00

看了一下，作者 github 里面代码已修复，属于权限控制问题。

lijinma

2015-09-25 15:24:56 +08:00

恩，已修复。
https://github.com/summerblue/phphub/commit/fb36c3140f8978920b4e986925c51bfda68af1c3

NauxLiu

2015-09-25 15:29:51 +08:00

@ibcker 楼主，我发邮件给你了，不知道我修复这个是不是你发现的问题?

https://github.com/summerblue/phphub/commit/fb36c3140f8978920b4e986925c51bfda68af1c3

xuxu

2015-09-25 15:30:08 +08:00

@lijinma NodesController::destroy 也有问题吗？

xuxu

2015-09-25 15:30:31 +08:00

@NauxLiu NodesController::destroy 也有问题吗？

xuxu

2015-09-25 15:32:20 +08:00

突然感觉所有的 resource 的 controller 都是有权限问题。。。。

ydhcui

2015-09-25 15:34:17 +08:00

哈哈乌云邀请码 300 一个？ 200 一个谁要你要多少我有多少

ibcker

2015-09-25 15:42:14 +08:00

@NauxLiu 回你邮件了，修复了关键的几个，还有两个在邮件里说了~

@xuxu 看作者最新几次提交

orFish

2015-09-25 15:44:36 +08:00

删除 topic 没做权限控制

ibcker

2015-09-25 15:47:04 +08:00

@orFish 写个脚本，一分钟就清库了···啊哈哈···

@NauxLiu 求加入开发组，求加友情链接~ XD

rootooroot

2015-09-25 16:00:35 +08:00

@lxjsmdc 帐号能卖 300 ? 大量出售乌云帐号啦 2333

leekelby

2015-09-25 16:03:52 +08:00

各种没做权限控制...

orFish

2015-09-25 16:21:28 +08:00

@leekelby 所以我一般把前台控制器和管理控制器分开，就不容易有这种问题了

NauxLiu

2015-09-25 16:25:57 +08:00

@leekelby 是做了权限控制，由于 Laravel 的路由规则，同时由于疏忽，有权限保护路由的被复写了。

NauxLiu

2015-09-25 16:39:07 +08:00

@ibcker 想加入开发组尽情提交 pr 就行了，然后团队成员都比较赞成的话就可以加入啦~

vulbox

2015-09-25 16:55:57 +08:00

欢迎来漏洞盒子提交 https://www.vulbox.com/ 高危漏洞会有奖金哦！

ibcker

2015-09-25 17:05:58 +08:00

@vulbox 作者已经修复了~谢谢 :-)

batilo

2015-09-25 17:14:12 +08:00

妈蛋，看成了 pornhub

magictim

2015-09-25 17:38:02 +08:00

@batilo 晕

lyping

2015-09-25 22:14:54 +08:00

phphub 只能用 github 登录吗？有自己的账户系统吗？

ibcker

2015-09-25 22:43:00 +08:00 via Android

@lyping 原来的没有，我改了下，有了。登陆界面还没做好就没放出来

bjzhush

2015-09-26 06:47:48 +08:00

@lxjsmdc 到哪可以卖啊？