MyBB, जिसे पहले MyBulletinBoard के नाम से जाना जाता था, PHP और My SQL पर आधारित एक फ्री और ओपन सोर्स फोरम सॉफ्टवेयर है। हाल ही में यह संस्करण 1.8.20 और इससे पहले के संस्करण में एक महत्वपूर्ण संग्रहीत XSS (क्रॉस-साइट स्क्रिप्टिंग) और RCE (रिमोट-कोड निष्पादन) के लिए असुरक्षित पाया गया है। इसके कारण मंच पर केवल एक उपयोगकर्ता खाता रखने वाला कोई भी पुरुष कारक व्यवस्थापक को दुर्भावनापूर्ण निजी संदेश भेजकर या दुर्भावनापूर्ण पोस्ट बनाकर किसी भी बोर्ड को हाईजैक कर सकता है।
कारण पर कमजोरियां
MyBB में मुख्य कारण निम्नलिखित कमजोरियां हैं:
पोस्ट और निजी संदेशों में पार्सिंग त्रुटि
पहली अनुचित पार्सिंग त्रुटि है जो जावास्क्रिप्ट का पता नहीं लगाती है। इसलिए, जब लक्षित मंच पर एक बुरा अभिनेता किसी व्यवस्थापक को दुर्भावनापूर्ण जावास्क्रिप्ट कोड वाला एक निजी संदेश भेजता है, तो यह सुरक्षा को दरकिनार कर देता है। इसके अलावा, इस भेद्यता को मेल खोलने के लिए व्यवस्थापक के अलावा और कुछ नहीं चाहिए। हैकर को बोर्ड पर पूर्ण नियंत्रण प्राप्त करने के लिए किसी अन्य कार्रवाई की आवश्यकता नहीं होती है। जैसे ही हमलावर पीएम खोलता है, उसे बोर्ड के डेटाबेस में संग्रहीत सभी उपयोगकर्ता खातों, निजी थ्रेड्स और संदेशों तक पूर्ण पहुंच प्राप्त हो जाती है।
रिमोट कोड निष्पादन भेद्यता
MyBB फ़ोरम की दूसरी भेद्यता एक संग्रहीत रिमोट कोड एक्ज़ीक्यूशन (RCE) है। हालाँकि, इसका उपयोग केवल व्यवस्थापक अनुमति वाले व्यक्ति द्वारा ही किया जा सकता है। लेकिन चूंकि निजी संदेशों में पार्सिंग त्रुटि एक हैकर को वेबसाइट का रिमोट कंट्रोल लेने देती है और डेटाबेस में दुर्भावनापूर्ण PHP कोड संग्रहीत करती है।
क्या आपकी वेबसाइट हैक हो गई है? एस्ट्रा के PHP मैलवेयर स्कैनर की अभी जाँच करें
तकनीकी विवरण
'पार्सिंग' शब्द का अर्थ है स्ट्रिंग विश्लेषण। मूल रूप से, पार्सिंग उपयोगकर्ता इनपुट को स्वच्छ कर रहा है और उन्हें mycodes . में परिवर्तित कर रहा है या बीबीकोड . इसके अलावा, bbcodes छवियों, लिंक और वीडियो को पोस्ट में एम्बेड करने का एक मंच विशिष्ट तरीका है।
सभी HTML टैग और दोहरे उद्धरण चिह्नों को छोड़कर पार्सिंग शुरू होती है। और फिर bbcode को iframe में बदलने के लिए आगे बढ़ता है।
लेकिन इस तथ्य के कारण कि bbcodes को एक अलग चरण में HTML मार्कअप में बदल दिया गया था, [url] bbcode HTML मार्कअप और दोहरे उद्धरण चिह्नों में परिवर्तित करके iframe के src को दूषित कर देता है। और यह परिणाम प्रदान किया जाता है।
यदि भेद्यता नहीं होती, तो अन्य bbcodes के भीतर bbcodes को इंजेक्ट करना संभव नहीं होता। इसके बाद एक onload . की ओर जाता है इवेंट हैंडलर को <iframe> में इंजेक्ट किया जा रहा है उपनाम। जैसे ही आईफ्रेम के भीतर पेज लोड होता है, यह ईवेंट हैंडलर ट्रिगर हो जाता है, इस प्रकार दुर्भावनापूर्ण जावास्क्रिप्ट कोड को ट्रिगर करने के लिए किसी उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं होती है।
क्या आपकी वेबसाइट हैक हो गई है? एस्ट्रा के PHP मैलवेयर स्कैनर की अभी जाँच करें
नवीनतम संस्करण में अपडेट करें
MyBB ने संस्करण 1.8.21 में भेद्यता को पैच किया है। इस संस्करण में अपडेट करना तत्काल कदम है जिसे आप उठा सकते हैं। साथ ही, यह सुनिश्चित करने के लिए कि आप इन हमलों के शिकार न हों; एक वेब एप्लिकेशन फ़ायरवॉल स्थापित करें। एक वेब एप्लिकेशन फ़ायरवॉल आपकी वेबसाइट को एक सतत निगरानी प्रणाली और एक अतिरिक्त सुरक्षा प्रदान करता है।
एस्ट्रा फ़ायरवॉल एक ऐसा फ़ायरवॉल है जो किसी वेबसाइट को XSS, SQLi, CSRF, बैड बॉट्स, OWASP टॉप 10 और 100+ अन्य साइबर हमलों से बचाता है। यहां बताया गया है कि एस्ट्रा डैशबोर्ड कैसा दिखता है-
अभी एस्ट्रा डेमो प्राप्त करें!