Siento decir que el 90% de las versiones actuales del MC v6.0 son hackeables mediante el
RFI,
Remote File Inclusion.
¿Que es esto?El bug* basicamente funciona incluyendo un archivo (
shell) que tiene codigos para modificar nuestra web desde dentro, el MC con el bug que tiene permite introducir este archivo y por tanto tu web en el servidor es vulnerable.
¿Como evitarlo?Hay muchas formas, una puede ser Contactar con tu Proveedor de Hosting y comentarle el problema, este se encargará de anular varios parametros del php.ini que permiten incluir archivos externos al servidor en tu web.
Otra forma para evitar el RFI podría ser crear tu mismo un codigo que impida introducir, EN EL MINICHAT, cualquier archivo que no pertenezca a los originales del MC.
H1R0 me paso hace poco este parche, que no lo he provado pero el asegura que funciona..:
<tr>
<td>
<?
include ("main.php");
if ($_GET['mostrar'] == "tag.php") {
?>
<iframe marginwidth="0" marginheight="0" src="tag.php?<?=session_name()."=".session_id(); ?>" frameborder="0" width="180" height="350" scrolling="yes" name="iframe"></iframe>
<?
} else {
?>
<div class="frame">
<? if(isset($_GET['mostrar'])) {
echo "Remote File Inclusion - Not allowed On this Server [Patch by H1r0]";
exit;
}
?>
</div>
<? } ?>
</td>
</tr>Os adjunto el archivo
ftag.php que debeis cambiar para que lo adapteis mejor a vuestro minichat
Aclaraciones(*):
- BUG: Traducido al español --> error.
