Statcounter Update.sh Vulnerability Fixes Statcounter Update.sh vulnerabilità correzioni

    • Jan Gennaio
    • 27 27

    Statcounter Update.sh Vulnerability Fixes Statcounter Update.sh vulnerabilità correzioni

    Posted by chaoskaizer.myopenid.com 10 months ago . Inviato da chaoskaizer.myopenid.com 10 mesi fa.

    Filed under Security & vulnerability . Elencato sotto Sicurezza e vulnerabilità.

    Gianni Amato found a vulnerability in statcounter that can expose ip2location database log and account credentials. Gianni Amato trovato una vulnerabilità in statcounter che possono esporre ip2location banca dati di log e conto credenziali.

    The Vulnerability La vulnerabilità

    The vulnerability exists in statcounters backup log inside utils directory where the file update.sh reside. La vulnerabilità esiste in statcounters di backup di log all'interno di utility directory in cui il file update.sh risiedono.


    Excerpt from Giani Amot: Estratto da Amot Giani:

    The server where the backup’s log of the last three days are situated is badly set. Il server dove la copia di backup del registro degli ultimi tre giorni sono situati è male impostata. The access for all directory by server is free, include “utils” directory that contains one script file called “update.sh” inside of which are situated the user and password to enter and download the database log from ip2location.com L'accesso per tutte le directory del server è gratuito, include "utils" directory che contiene uno script file chiamato "update.sh" all'interno del quale sono situati l'utente e la password per accedere e scaricare i dati di log da ip2location.com

    Update.sh 

     cd /home/ip2location cd / home/ip2location 

 /usr/bin/curl --data 'login=webmaster@statcounter.com&password=kOFr3VTh' 'http://www.ip2location.com/download.aspx?productcode=db6bin' > /home/ip2location/ipdb_current.bin.zip / usr / bin / curl - dati 'login = webmaster@statcounter.com & password = kOFr3VTh' 'http://www.ip2location.com/download.aspx?productcode=db6bin'> / home/ip2location/ipdb_current.bin.zip 

 rm /home/ip2location/ipdb_new.bin rm / home/ip2location/ipdb_new.bin 

 unzip -p /home/ip2location/ipdb_current.bin.zip *.BIN > /home/ip2location/ipdb_new.bin unzip-p / home/ip2location/ipdb_current.bin.zip *. BIN> / home/ip2location/ipdb_new.bin 

 if [ "$?" if [ "$?" -ne "0" ]; then -ne "0"]; poi 

  echo "Sorry, new ip_db archive isn't valid!" echo "Siamo spiacenti, ip_db nuovo archivio non è valido!" 

  exit 1 exit 1 

 fi 

 mv /home/ip2location/ipdb_new.bin /home/ip2location/ipdb.bin mv / home/ip2location/ipdb_new.bin / home/ip2location/ipdb.bin 

 rm /home/ip2location/ipdb_current.bin.zip rm / home/ip2location/ipdb_current.bin.zip 

 /bin/cp /home/ip2location/ipdb.bin /mnt/rd/ipdb.bin / bin / cp / home/ip2location/ipdb.bin / mnt / rd / ipdb.bin

    htaccess workaround htaccess soluzione

    places the following .htaccess code inside statscounter /utils/ directory pone la seguente. htaccess codice all'interno statscounter / utils / directory 

     #deny access to any file with *.sh filetypes # negare l'accesso a qualsiasi file con file *. sh 
 <Files ~ "^\.sh"> <Files ~ "^\.sh"> 
  Order allow,deny Ordine consentire, negare 
  Deny from all Nega da tutti i 
  Satisfy All Soddisfare tutti i 
 </Files> </ File> 

 #Deny request for *.log & comment files # Nega richiesta di *. log file e commento 
 <Files ~ "^.*\.([Ll][Oo][Gg]|[cC][oO][mM][mM][eE][nN][tT])"> <Files ~ "^.*\.([Ll][Oo][Gg]|[cC][oO][mM][mM][eE][nN][tT])"> 
  Order allow,deny Ordine consentire, negare 
  Deny from all Nega da tutti i 
  Satisfy All Soddisfare tutti i 
 </Files> </ File>

    password protected directories directory protette da password 

     AuthType Basic AuthType Basic 
 AuthName "restricted area" AuthName "area riservata" 
 AuthUserFile /usr/local/etc/.htpasswd-allusers AuthUserFile / usr / local / etc / .htpasswd-ALLUSERS 
 require valid-user richiedono valida-utente

    Note: You will need to change the AuthUserFile password file location depending on your server configurations. Nota: È necessario cambiare la password AuthUserFile file a seconda della configurazione del server.

    External Resources Risorse esterne

    About the Author Chi l'Autore

     

    Tags: Tag:
    • January 27, 2008 at 1:11 pm 27 gennaio 2008 a 1:11 pm
    • February 3, 2008 at 11:48 am 3 febbraio 2008 a 11:48 am
    • 0.3 0,3
    • url

    • No Responses to “ Statcounter Update.sh Vulnerability Fixes ” Nessun Commento a "Statcounter Update.sh Correzioni a causa di una vulnerabilità"

      Trackback URL: Trackback URL: Use the TrackBack url ↑ to ping this article. Utilizzare il Trackback URL ↑ a ping questo articolo. If your blog does not support Trackbacks you might want to leave a comment instead. Se il tuo blog non supporta TrackBacks si potrebbe desiderare di lasciare un commento invece.
        • RE: Statcounter Update.sh Vulnerability Fixes - 'The Guide' ↓ RE: Statcounter Update.sh Correzioni a causa di una vulnerabilità - 'La Guida' ↓
          Statcounter Update.sh Vulnerability Fixes Kakkoi 10 months ago 5 url Statcounter Update.sh Correzioni a causa di una vulnerabilità Kakkoi 10 mesi fa 5 url
          Marvin, Point of View Gun

          The following "Code" are designed to protect you and other users of this site. La seguente "Codice" sono progettati per proteggere voi e gli altri utenti di questo sito.

          • Be relevant: Your comment should be a thoughtful contribution to the subject of the entry. Essere rilevanti: Il tuo commento dovrebbe essere un contributo attenti al tema della voce. Keep your comments constructive and polite. Tenere i tuoi commenti costruttivi e gentile.
          • No advertising or spamming: Do not use the comment feature to promote commercial entities/products, affiliates services or websites. N. pubblicità o spamming: non utilizzare la funzione di commento a promuovere enti commerciali / prodotti, di servizi affiliati o siti web. You are allowed to post a link as long as it's relevant to the entry. Sei autorizzato a postare un link fintanto che è rilevante per l'entrata.
          • Keep within the law: Do not link to offensive or illegal content websites. Tenere all'interno della legge: non offensivo link a contenuti illegali o siti web. Do not make any defamatory or disparaging comments which might damage the reputation of a person or organisation. Non fare nessuna diffamatorio o denigratorie commenti che potrebbero danneggiare la reputazione di una persona o organizzazione.
          • Privacy: Do not post any personal information relating to yourself or anyone else - (ie: address, place of employment, telephone or mobile number or email address). Privacy: Non pubblicare tutte le informazioni personali relative a te stesso o chiunque altro - (vale a dire: indirizzo, luogo di lavoro, telefono o numero di cellulare o indirizzo e-mail).

          In order to keep these experiences enjoyable and interesting for all of our users, we ask that you follow the above guidlines. Al fine di mantenere queste esperienze divertente e interessante per tutti i nostri utenti, ti chiediamo di seguire le guidlines sopra.

          be the first to comment. essere il primo a commentare.

          Kakkoi Feel free to engage, ask questions, and tell us what you are thinking! Sentiti libero di impegnarsi, porre domande, e dirci cosa stai pensando! Regular and insightful comments are most welcomed. Regolari e dettagliati commenti sono la maggior parte ha accolto con favore.

    "write as if you were talking to a good friend (in front of your mother)." "scrivere come se si trattasse di parlare di un buon amico (di fronte a tua madre)."

    .have your say . Dite la vostra

    Disclaimer: For any content that you post, you hereby grant to Kakkoi the royalty-free, irrevocable, perpetual, exclusive and fully sublicensable license to use, reproduce, modify, adapt, publish, translate, create derivative works from, distribute, perform and display such content in whole or in part, world-wide and to incorporate it in other works, in any form, media or technology now known or later developed. Some rights reserved. Disclaimer: Per qualsiasi contenuto che si posta, si dichiara di concedere Kakkoi il titolo gratuito, irrevocabile, perpetuo, esclusivo e pienamente sublicensable licenza di utilizzare, riprodurre, modificare, adattare, pubblicare, tradurre, creare opere derivate, distribuire, eseguire e visualizzare tali contenuti in tutto o in parte, in tutto il mondo e di incorporare in altri lavori, in qualsiasi forma, media o tecnologia attualmente conosciuta o sviluppata successivamente. Alcuni diritti riservati.

MySQL query error MySQL Query errore