Das war auch nicht die Antwort auf josts Frage sondern die Erfuellung deines Wunsches.HerrB hat geschrieben:War ein Scherz, war eine zu schöne Vorlage, um sie ungenutzt liegen zu lassen...
Noch eine Anmerkung: der Patch muss auch das $_COOKIE array berücksichtigen mit z.B.dyndot hat geschrieben:Also, soweit ich das gesehen habe und beurteilen kann, da meine PHP Kenntnisse auch nicht so der Wahnsinn sind, hat Timo folgenden Code an den Anfang der class.inuse.php eingesetzt und zwar vor die require_once Anweisung:
Code: Alles auswählen
if ($_GET["cfg"] || $_POST["cfg"]) { die(); }
Code: Alles auswählen
if ($_REQUEST["cfg"] )
{
die();
}
GerhardCode: Alles auswählen
if ($_GET["cfg"] || $_POST["cfg"])
{
die();
} Code: Alles auswählen
if ($_GET["cfg"] || $_POST["cfg"])
{
die();
}
if ($_REQUEST["cfg"] )
{
die();
}
Den Code in jede Datei einzubauen ist sicher etwas zu viel des Guten, das Problem sind jene Files, die include, require etc. mit der $cfg verwenden, z.B. die class.inuse.php der Version 4.4.4 ist hier einladend offen zum "hacken". Ohne das System in den Tiefen zu kennen, würd ich mal behaupten, dass der Einbau gefahrlos ist weil es relativ sinnlos wäre die $cfg über GET/POST zu verwenden (ist ja ein internes Konfigurationsarray)Dennis hat geschrieben:Kann es dann zu fehlern kommen? Weil damit würde ich ja verhindern das der exploit noch irgendwo verwendet werden kann.
