Xenforo 1.0.0-1.4.4. Баг выбора языка. Или за пол часа пишем в логи несколько GB говна.

hasvanbinsun · 5 Фев 2015

Как закрыть баг выбора языка? Есть даже на этом форуме! Выполнить запрос может даже неавторизованный пользователь! Удалить язык не предлагать, отключить логи тоже не предлагать.

Не контролируется количество символов после ссылки: https://xenforo.info/misc/language?redirect=%2

Удалось выполнить запрос, после редиректа можете указать любые символы.

Такой запрос уже не прошёл:

Не прошел, но всё равно обычный скрипт может за день заполнить дисковое пространство любого маленького хостинга... К чему это может привести вы сами догадываетесь.

Удаляя все языки кроме русского при выполнении запроса получаем ответ от ксена "Ошибка безопасности"

Что скажете? Как пофиксить?

koris · 5 Фев 2015

Может имеет смысл задать этот вопрос на оф. сайте ксени?
Интересно что они ответят.

myboris2005 · 5 Фев 2015

koris написал(а):
Может имеет смысл задать этот вопрос на оф. сайте ксени?
Интерересно что они ответят.

Кстати, очень интересненько.

Reborns · 5 Фев 2015

причем тут вообще ксеня ? такими запросами да и похуже можно докучать везде ...
Но если в вашем случае кто то вас специально доводит такими запросами , то просто урежьте на стороне сервера..
в /etc/nginx/nginx.conf

Код:

## Start: Size Limits & Buffer Overflows ##
  client_body_buffer_size  1K;
  client_header_buffer_size 1k;
  client_max_body_size 1k;
  large_client_header_buffers 2 1k;
## END: Size Limits & Buffer Overflows ##

hasvanbinsun · 5 Фев 2015

Reborns написал(а):
причем тут вообще ксеня ? такими запросами да и похуже можно докучать везде ...
Но если в вашем случае кто то вас специально доводит такими запросами , то просто урежьте на стороне сервера..
в /etc/nginx/nginx.conf

Код:

## Start: Size Limits & Buffer Overflows ## client_body_buffer_size 1K; client_header_buffer_size 1k; client_max_body_size 1k; large_client_header_buffers 2 1k; ## END: Size Limits & Buffer Overflows ##

Что посоветуете под пёрышко? В любом случае хен должен отправлять на страницу ошибки. Мол, такой страницы не существует, но этого не происходит.

Reborns · 5 Фев 2015

Ничего кроме как заменить перо...

hasvanbinsun · 5 Фев 2015

Reborns, докучать везде не получится) Пробовал на других ссылках вставлять левый код. "Запрашиваемая страница не найдена". Почему тут пропускает? Как всегда об одном спрашиваю, а сводится всё к пиару энжинкса.

HellFire · 5 Фев 2015

по моему есть только шаловливые руки, а не баг. Тоже самое, что и эту страницу https://xenforo.info/threads/9375/ сделать такой https://xenforo.info/threads/9375/ывфьпдлпфыпфыап

hasvanbinsun · 5 Фев 2015

Запрашиваемая страница не найдена.

Ну что, как пофиксить ?

HellFire · 5 Фев 2015

hasvanbinsun написал(а):
Запрашиваемая страница не найдена.

Ну что, как пофиксить ?

Создать её =)))

Hope · 6 Фев 2015

Конечно с названием темы ТС явно перегнул. Пользователи испугаются. )))

margent · 6 Фев 2015

Я так и не увидел уязвимости, пытался раза три найти )

Hope · 6 Фев 2015

Никакой уязвимости и нет. )

Malezha · 6 Фев 2015

Насколько я понимаю, hasvanbinsun, боится заполнения винта логами с подобной фигней.
Так вот, на высоконагруженных серверах логи доступа вообще отключат, т.к. толку от них никакого, а диск грузят прилично.

HellFire · 6 Фев 2015

Malezha написал(а):
Насколько я понимаю, hasvanbinsun, боится заполнения винта логами с подобной фигней.
Так вот, на высоконагруженных серверах логи доступа вообще отключат, т.к. толку от них никакого, а диск грузят прилично.

а о не правильной странице логов не ведётся.

Xenforo 1.0.0-1.4.4. Баг выбора языка. Или за пол часа пишем в логи несколько GB говна.

Мы ценим вашу конфиденциальность