Tôi đã hack diễn đàn 5giay.vn sử dụng xenforo như thế nào.

Sáng 15-02-2017 trong lúc trao đổi ở hội kín của những thành viên coi nhau như là anh em từ thời XgR còn sống và vẫn âm thầm sống với nhau tới hiện tại, chúng tôi có nhận được một cái lỗ hổng của Xenforo, máu dồn đến nơi cần dồn và ngồi thử hàng với một số trang sài Xenforo lớn ở VN
kết quả cũng có khá nhiều trang mắc lỗ hổng này, trong đó có www.5giay.vn một trang web rao vặt lớn mà ai cũng biết.

Ngồi thử Inject vài câu truy vấn cơ bản và nhận ra là hệ thống không có cản lọc, chỉ cần dùng những gì cơ bản nhất của SQL Injection cũng có thể lấy được những thông tin cần thiết như:

user(), database(), version() : 5s_u1@memcachehaproxy.5giay.vn:5s_db1:5.6.24-log

Nhận thấy điều này có thể gây ảnh hưởng lớn đến hệ thống nên tôi select vài thông tin email của admin và soạn email thông báo để gởi cảnh báo lỗ hổng đến họ, lỗ hổng đã được fix vào ngày hôm sau và tôi nhân được email cảm ơn từ BQT diễn đàn 5giay.vn.

Những ai đang sử dụng mã nguồn Xenforo xin hãy ngay lập tức update mã nguồn của mình lên version mới nhất để tránh tổn thất, bởi exploit này cũng có khá nhiều người biết và đang sử dụng nó rồi.


Quá trình thông báo:
15-02-2017 : Phát hiện lỗ hổng.Thông báo tới BQT diễn đàn 5giay.vn
...
16-02-2017 : Bug được fix trong buổi sáng, chiều nhận được email reply cảm ơn.Confirm là bug đã được fix, viết bài lên blog.

Kiểm thử bởi Concobe