Statcounter Update.sh Vulnerability Fixes StatCounter Update.sh corrige vulnerabilidades

Gianni Amato found a vulnerability in statcounter that can expose ip2location database log and account credentials. Gianni Amato encontrada uma vulnerabilidade no StatCounter que podem expor ip2location log de dados e conta credenciais.

The Vulnerability A Vulnerabilidade

The vulnerability exists in statcounters backup log inside utils directory where the file update.sh reside. A vulnerabilidade existe em statcounters backup diário dentro utils diretório onde o arquivo update.sh residem.

• googlecache: *.statcounter.com/utils/update.sh googlecache: *. statcounter.com / utils / update.sh

Excerpt from Giani Amot: Trechos de Giani Amot:

The server where the backup’s log of the last three days are situated is badly set. O servidor onde o backup do registro dos últimos três dias estão situados está mal definida. The access for all directory by server is free, include “utils” directory that contains one script file called “update.sh” inside of which are situated the user and password to enter and download the database log from ip2location.com O acesso de todos os diretórios do servidor é gratuito, incluem "utils" diretório que contém um script arquivo chamado "update.sh" dentro das quais se situam o usuário e senha para entrar e fazer o download da base de dados de log ip2location.com

Update.sh

 cd /home/ip2location cd / home/ip2location 

 /usr/bin/curl --data 'login=webmaster@statcounter.com&password=kOFr3VTh' 'http://www.ip2location.com/download.aspx?productcode=db6bin' > /home/ip2location/ipdb_current.bin.zip / usr / bin / curl - dados' login e senha = = webmaster@statcounter.com kOFr3VTh '' http://www.ip2location.com/download.aspx?productcode=db6bin '> / home/ip2location/ipdb_current.bin.zip 

 rm /home/ip2location/ipdb_new.bin rm / home/ip2location/ipdb_new.bin 

 unzip -p /home/ip2location/ipdb_current.bin.zip *.BIN > /home/ip2location/ipdb_new.bin unzip-p / home/ip2location/ipdb_current.bin.zip *. BIN> / home/ip2location/ipdb_new.bin 

 if [ "$?" if [ "$?" -ne "0" ]; then -ne "0"]; então 

  echo "Sorry, new ip_db archive isn't valid!" echo "Desculpe, ip_db novo arquivo não é válido!" 

  exit 1 saída 1 

 fi 

 mv /home/ip2location/ipdb_new.bin /home/ip2location/ipdb.bin mv / home/ip2location/ipdb_new.bin / home/ip2location/ipdb.bin 

 rm /home/ip2location/ipdb_current.bin.zip rm / home/ip2location/ipdb_current.bin.zip 

 /bin/cp /home/ip2location/ipdb.bin /mnt/rd/ipdb.bin / bin / cp / home/ip2location/ipdb.bin / mnt / rd / ipdb.bin 

htaccess workaround htaccess contorno

places the following .htaccess code inside statscounter /utils/ directory coloca o seguinte. htaccess código dentro statscounter / utils / diretório

 #deny access to any file with *.sh filetypes # negar acesso a qualquer arquivo com o arquivo *. sh 
 <Files ~ "^\.sh"> <Files ~ "^\.sh"> 
  Order allow,deny Ordem permitir, negar 
  Deny from all Negar a partir de todos os 
  Satisfy All Todos satisfazer 
 </Files> </ Files> 

 #Deny request for *.log & comment files # Negar pedido para comentar arquivos *. log & 
 <Files ~ "^.*\.([Ll][Oo][Gg]|[cC][oO][mM][mM][eE][nN][tT])"> <Files ~ "^.*\.([Ll][Oo][Gg]|[cC][oO][mM][mM][eE][nN][tT])"> 
  Order allow,deny Ordem permitir, negar 
  Deny from all Negar a partir de todos os 
  Satisfy All Todos satisfazer 
 </Files> </ Files> 

password protected directories senha diretórios protegidos

 AuthType Basic AuthType Basic 
 AuthName "restricted area" AuthName "zona restrita" 
 AuthUserFile /usr/local/etc/.htpasswd-allusers AuthUserFile / usr / local / etc / .htpasswd-allusers 
 require valid-user utilizador válido requerer - 

Note: You will need to change the AuthUserFile password file location depending on your server configurations. Nota: Você precisará modificar o arquivo AuthUserFile senha localização, dependendo do seu servidor de configurações.

External Resources Recursos externos

• Giani Amato → Se fossi tu a monitorare Statcounter.com? Giani Amato → Se Fossi um monitorare Statcounter.com tu?
• Giani Amato → Se fossi tu a monitorare Statcounter.com » English Translations Giani Amato → Se tu Fossi um monitorare Statcounter.com »Traduções Inglês