Сайт на joomla 3.3.1 почему не работает exploit sql injection?

Question

[ABU SADDAM SHISHANI]

А именно речь идет об CVE-2016-9838, так же имеется exploit https://www.exploit-db.com/exploits/41157 написанный на питоне, как я понял в коде нужно лишь изменить url на ссылку "жертвы', но либо я что-то не так делаю, либо сайт не подвержен этой уязвимости ( в чем я очень сомневаюсь, раз её не фиксили значит она должна присутствовать в версии 3.3.1 как было заявлено) но в терминале выдаёт такую ошибку
Traceback (most recent call last):
File "joomla_take_over.py", line 39, in
data = {e['name']: e['value'] for e in form.find_all('input')}
AttributeError: 'NoneType' object has no attribute 'find_all'

Comments

[Сергей Горностаев]

Ох уж эти скрипт кидди, палку нашёл, а поколотить ею чучело джумлы не может.

[ABU SADDAM SHISHANI]

Сергей Горностаев, Ну поймите вы нелегкую жизнь ламера)) был бы благодарен за оказание помощи..

[Сослан Хлоев]

ABU SADDAM SHISHANI, у Вас переменная form = None. Почему так, я уже не скажу.

[Сергей Горностаев]

ABU SADDAM SHISHANI, если университетские админы не совсем еноты, то попытки взлома заметят. А если они ещё и такие же злобные, каким был я во времена работы в университетском ВЦ, то не пожалеют времени на вычисление взломщика. Для вас это может кончится отчислением.

[ABU SADDAM SHISHANI]

Сергей Горностаев, Спасибо за замечание, но это чисто в познавательных целях и согласовано с ними))

Answer 1

[Владимир]

Если сайт находится на каком либо крупном шаред хостинге, то с вероятностью 99% там стоит mod_security c набором правил от какого либо провайдера(например Comodo). что собственно легко закрывает такие старые уязвимости.

Comments

[ABU SADDAM SHISHANI]

сайт по всей видимости находится на данном хостинге hosting.reg.ru. А можно по подробнее про данный мод, как он работает ?

[Владимир]

ABU SADDAM SHISHANI, mod_security это модуль веб сервера apache, также есть версии для nginx, он позволяет реализовать так называемый WAF (web application firewall) как и в любом фаерволе - ценность в правилах которые он применяет. Есть несколько хороших провайдеров правил, как платные так и бесплатные - например от комодо https://waf.comodo.com/, в правилах блокируются запросы эксплуатирующие известные эксплойты к популярным ЦМС/форумам и тд, рейтлимитятся запросы в часто встречаемые логин формы и тд. Правила регулярно обновляются.
Соответственно веб сервер получив запрос, анализирует его в mod_security и если он подходит под какието правила - выполняются необходимые действия (блокировка, рейтлимит и тд), если же все ок - продолжает его выполнять.

[ABU SADDAM SHISHANI]

Владимир, Блокирует ли этот мод попытки брутфорса ?

[ABU SADDAM SHISHANI]

Владимир, И значит ли это то, что даже не обязательно обновлять cms версии для избежания таких атак ? (Интересно, почему-то нигде в статьях про эти уязвимости не упоменяается эта защита на хостсерверах:/ )

[Владимир]

ABU SADDAM SHISHANI, Да попытки брутфорса он может блокирывать (может быть лимит на кол-во заходов на страницу с ип или в общем) за еденицу времени.

Обновлять цмс всеравно надо - создание правил занимает время и разработчики цмс зачастую выпустят быстрее новую версию с исправлениями, чем провайдеры правил нужное правило.

Про статьи - Шаред хостинг у больших провайдеров типа Godaddy, Hostgator, Namecheap это не виртуалка с какойнибуть вестаЦП и парой сайтов. Это сервер гигабайт на 128-256 оперативки, терабайты ссд дисков, один сервер может вмещать тысячи пользовательских аккаунтов (в каждом аккаунте может быть больше 1го домена с сайтом и почтой), для изоляции аккаунтов друг от друга применяются различные приемы контейниризации и тд. Это скажем так отдельная и не очень популярная кухня (сейчас популярен всякий хайлоад и девопс) и не так много людей этим занимается. Да и кол-во разнообразного софта и кастомизаций на таких серверах очень велико.