Statcounter Update.sh Vulnerability Fixes StatCounter Update.sh Sicherheitslücke behebt

    • Jan Jan
    • 27 27

    Statcounter Update.sh Vulnerability Fixes StatCounter Update.sh Sicherheitslücke behebt

    Posted by chaoskaizer.myopenid.com 7 months ago . Posted by chaoskaizer.myopenid.com 7 Monaten.

    Filed under Security & vulnerability . Gespeichert unter Sicherheit & Verwundbarkeit.

    Gianni Amato found a vulnerability in statcounter that can expose ip2location database log and account credentials. Gianni Amato gefunden eine Schwachstelle in StatCounter, exponieren ip2location Datenbank einloggen und Account-Anmeldeinformationen.

    The Vulnerability Die Sicherheitslücke

    The vulnerability exists in statcounters backup log inside utils directory where the file update.sh reside. Die Schwachstelle besteht in statcounters Backup-Log-innen utils Verzeichnis, in dem die Datei update.sh aufzuhalten.


    Excerpt from Giani Amot: Auszug aus Giani Amot:

    The server where the backup’s log of the last three days are situated is badly set. Der Server von dem Sie die Log-Backups der letzten drei Tage liegen ist schlecht eingestellt. The access for all directory by server is free, include “utils” directory that contains one script file called “update.sh” inside of which are situated the user and password to enter and download the database log from ip2location.com Der Zugang für alle von Verzeichnis-Server ist kostenlos, include "utils"-Verzeichnis, in dem sich ein Skript Datei mit dem Namen "update.sh" innerhalb von denen sich die Benutzer und Passwort eingeben und laden Sie die Datenbankanmeldung aus ip2location.com

    Update.sh 

     cd /home/ip2location  /usr/bin/curl --data 'login=webmaster@statcounter.com&password=kOFr3VTh' 'http://www.ip2location.com/download.aspx?productcode=db6bin' > /home/ip2location/ipdb_current.bin.zip  rm /home/ip2location/ipdb_new.bin  unzip -p /home/ip2location/ipdb_current.bin.zip *.BIN > /home/ip2location/ipdb_new.bin  if [ "$?" cd / home/ip2location / usr / bin / curl - Daten "login = webmaster@statcounter.com & password = kOFr3VTh '' http://www.ip2location.com/download.aspx?productcode=db6bin '> / home/ip2location / ipdb_current.bin.zip rm / home/ip2location/ipdb_new.bin unzip-p / home/ip2location/ipdb_current.bin.zip *. BIN> / home/ip2location/ipdb_new.bin if [ "$?" -ne "0" ]; then   echo "Sorry, new ip_db archive isn't valid!" - ne "0"]; then echo "Sorry, neue ip_db Archiv ist nicht gültig!" exit 1  fi  mv /home/ip2location/ipdb_new.bin /home/ip2location/ipdb.bin  rm /home/ip2location/ipdb_current.bin.zip  /bin/cp /home/ip2location/ipdb.bin /mnt/rd/ipdb.bin exit 1 fi mv / home/ip2location/ipdb_new.bin / home/ip2location/ipdb.bin rm / home/ip2location/ipdb_current.bin.zip / bin / cp / home/ip2location/ipdb.bin / mnt / rd / ipdb. bin

    htaccess workaround htaccess-Workaround

    places the following .htaccess code inside statscounter /utils/ directory die folgenden Plätze. htaccess-Code innerhalb statscounter / utils / Verzeichnis 

     #deny access to any file with *.sh filetypes <Files ~ "^\.sh">  Order allow,deny  Deny from all  Satisfy All </Files>  #Deny request for *.log & comment files <Files ~ "^.*\.([Ll][Oo][Gg]|[cC][oO][mM][mM][eE][nN][tT])">  Order allow,deny  Deny from all  Satisfy All </Files> # Zugriff auf beliebige Dateien mit *. sh Dateitypen <Files ~ "^\.sh"> Order allow, deny Deny aus allen Satisfy All </ Files> # Deny Antrag auf *. log & kommentieren Dateien <Dateien ~ "^. * \. ([Ll] [Oo] [Gg] | [Cc] [Oo] [mm] [mm] [Ee] [nN] [Tt]) "> Order allow, deny Deny aus allen Satisfy All </ Files >

    password protected directories Passwort geschützte Verzeichnisse 

     AuthType Basic AuthName "restricted area" AuthUserFile /usr/local/etc/.htpasswd-allusers require valid-user AuthType Basic AuthName "restricted area" AuthUserFile / usr / local / etc / .htpasswd-ALLUSERS require valid-user

    Note: You will need to change the AuthUserFile password file location depending on your server configurations. Hinweis: Sie benötigen zum Ändern der Passwort-Datei AuthUserFile Standort abhängig von Ihrem Server-Konfigurationen.

    External Resources Externe Ressourcen

    About the Author Über den Autor

     

    Tags: Tags:
    • January 27, 2008 at 1:11 pm 27. Januar 2008 um 1:11 pm
    • February 3, 2008 at 11:48 am 3. Februar 2008 um 11:48
    • 0.3 0,3
    • url URL

    • No Responses to “ Statcounter Update.sh Vulnerability Fixes ” Keine Kommentare zu "StatCounter Update.sh Sicherheitslücke Fixes"

      Trackback URL: Trackback URL: Use the TrackBack url ↑ to ping this article. Verwenden Sie die ↑ TrackBack-URL zu diesem Artikel Ping. If your blog does not support Trackbacks you might want to leave a comment instead. Wenn Ihr Blog nicht unterstützt Trackbacks Vielleicht möchten Sie einen Kommentar hinterlassen.
        • RE: Statcounter Update.sh Vulnerability Fixes - 'The Guide' ↓ RE: StatCounter Update.sh Sicherheitslücke Fixes - "Der Führer '↓
          Statcounter Update.sh Vulnerability Fixes Kakkoi 7 months ago 5 url StatCounter Update.sh Sicherheitslücke Fixes Kakkoi 7 Monaten 5 url
          Marvin, Point of View Gun

          The following "Code" are designed to protect you and other users of this site. Die folgenden "Code" sind so konzipiert, schützen Sie und andere Nutzer dieser Website.

          • Be relevant: Your comment should be a thoughtful contribution to the subject of the entry. Relevant sein: Ihr Kommentar sollte ein nachdenklichen Beitrag zum Thema des Eintrags. Keep your comments constructive and polite. Halten Sie Ihre Kommentare und konstruktive höflich.
          • No advertising or spamming: Do not use the comment feature to promote commercial entities/products, affiliates services or websites. Keine Werbung oder Spamming: Verwenden Sie nicht den Kommentar-Funktion zur Förderung der wirtschaftlichen Einheiten oder Produkten, Dienstleistungen oder verbundenen Websites. You are allowed to post a link as long as it's relevant to the entry. Sie sind erlaubt, um eine Verbindung so lange, wie es ist relevant für den Eintrag.
          • Keep within the law: Do not link to offensive or illegal content websites. Halten Sie innerhalb der gesetzlich: Nicht Link zu anstößige oder illegale Inhalte Websites. Do not make any defamatory or disparaging comments which might damage the reputation of a person or organisation. Nehmen Sie keine diffamierenden oder herabwürdigende Bemerkungen, die möglicherweise dadurch der Ruf einer Person oder Organisation.
          • Privacy: Do not post any personal information relating to yourself or anyone else - (ie: address, place of employment, telephone or mobile number or email address). Datenschutz: Veröffentlichen Sie keine persönlichen Informationen über sich selbst oder jemand anders - (dh: Adresse, Ort der Beschäftigung, Telefon-oder Handynummer oder E-Mail-Adresse).

          In order to keep these experiences enjoyable and interesting for all of our users, we ask that you follow the above guidlines. Um diese Erfahrungen angenehm und interessant für alle unsere Nutzer, bitten wir Sie, folgen Sie den oben genannten Richtlinien.

          be the first to comment. als erstes zur Stellungnahme.

          Kakkoi Feel free to engage, ask questions, and tell us what you are thinking! Fühlen Sie sich frei zu engagieren, Fragen stellen und uns sagen, was Sie denken! Regular and insightful comments are most welcomed. Regelmäßige und aufschlussreiche Kommentare sind die meisten begrüßen.

    "write as if you were talking to a good friend (in front of your mother)." "schreiben, als ob Sie sich unterhielten, ein guter Freund (vor Ihrer Mutter)."

    .have your say . Ihre Meinung zählt

    Disclaimer: For any content that you post, you hereby grant to Kakkoi the royalty-free, irrevocable, perpetual, exclusive and fully sublicensable license to use, reproduce, modify, adapt, publish, translate, create derivative works from, distribute, perform and display such content in whole or in part, world-wide and to incorporate it in other works, in any form, media or technology now known or later developed. Some rights reserved. Disclaimer: Für alle Inhalte, die Sie veröffentlichen, gewähren Sie hiermit zu Kakkoi die gebührenfreie, unwiderrufliche, unbefristete, exklusive und vollständig sublizenzierbare Lizenz zu nutzen, zu reproduzieren, zu modifizieren, anzupassen, zu veröffentlichen, zu übersetzen, abgeleitete Arbeiten erstellen, verteilen, die Durchführung und den Anzeige solcher Inhalte ganz oder teilweise, welt-weit zu tragen und sie in anderen Werken, in irgendeiner Form, Medien oder Technologie jetzt bekannt ist oder später entwickelt. Some rights reserved.

MySQL query error MySQL-Abfrage Fehler