Auteur
Herve
Herve
Forum » » Sécurité » » test avec chorizo-scanner
Posté : 30-04-2012 20:22 
juste pour info,
suite à des visites suspectes
, j'ai googlé mon site et me suis rendu compte que j'avais été imprudent 
: le 2ème résultat de google était carrément un répertoire non protégé contenant phpzip, pcsexplorer, ... permettant de voir la totalité des pages perso, site npds compris.
Du coup, après avoir bouché les trous et changé tous les mots de passe
, je me suis inscrit auprès de chorizo-scanner pour tester la sécurité du site. Bilan :deux messages inquiétants 
- concernant le module event-call, on peut provoquer le message d'erreur :
Warning: mktime() expects parameter 6 to be long, string given in /mnt/xxx/xx/x/x/xxxxxxx/.../modules/event-call/calendar.php on line 100
en tapant :
=cal&month=4&year=%20!onmouse!over=alert('f4f183689d28356bef40775e3a02f8b0')&ca tview=0 " target="_blank" class="" class="noir">http://xxx.xxx.fr/xxx/modules.php?ModPath=event-call&ModStart=cale ndar&op=cal&month=4&year=%20!onmouse!over=alert('f4f183689d28356bef40775e3a02f8 b0')&catview=0
- concernant npds,il semble que le risque est moindre :
http://xxx.xxx.fr/?=PHPE9568F36-D428-11d2-A769-00AA001ACF42
provoque seulement l'affichage du logo de PHP
Dans les deux cas, $get est impliquée
Cet article provient de NPDS REvolution 16
https://lab.grottes-et-karsts-de-chine.org/viewtopic.php?topic=25480&forum=12