Наверное у многих установлен этот хак? (vBanonymizer) =) ссылка на вб.орг

Description:
This is a hack to "anonymize" all outgoing links from your forum to prevent the referrer information from being sent.

недавно получил ЛС от одного из наших участников, с сообщением об уязвимости в этом хаке - XSS
скачал последнюю, доступную версию с оффорума (Version: 2.7), покрутил его на локалке...
результаты:
помимо того, что там действительно есть "дырка", так он еще и не выполняет того, для чего предназначен (анонимность при переходе по ссылке с форума)
т.е. реферер всетаки передается =)
это не сложно проверить, (при установленном хаке) прописать линк у себя на форуме http://www.vbsupport.ru/forum/1.php и перейти по нему
пример дырки:

_http://resurs.com/redirector.php?url=data:text/html;base64,PHNjcmlwdD5hbGVydCgn0eDp8iDv7uTi5fDm5e0g4ufr7uzzIFhTUycpOzwvc2NyaXB0Pg0K

скрин ниже



временная (кривенькая, но рабочая) "заплатка", (пока на оффоруме не раздуплятся заделать) если не хотите удалять (бесполезный, на мой взгляд) хак:
1. в файле redirector.php найти:
===

PHP Code:

$do = $_GET['do']; 


заменить на:

PHP Code:

$do = $_REQUEST['do']; 


найти:

PHP Code:

$url = rawurldecode($vbulletin->input->clean($_GET['url'], TYPE_NOHTML)); 


заменить на:

PHP Code:

$url = base64_decode($vbulletin->input->clean($_REQUEST['url'], TYPE_NOHTML)); 


найти:

PHP Code:

$displayurl = '<a href="' . $scriptpath . '?do=nodelay&url=' . str_replace('&amp;', '&', $url) . '">' . $url . '</a>'; 


заменить на:

PHP Code:

$displayurl = '<a href="' . str_replace('&amp;', '&', $url) . '">' . $url . '</a>'; 


===
2. в плагине Anonymizer Function этого продукта найти:

PHP Code:

$replace[] = '<a href="' . $scriptpath . rawurlencode($oldurl) . $nofollow; 


заменить на:

PHP Code:

$replace[] = '<a href="' . $scriptpath . base64_encode($oldurl) . $nofollow; 


======
ссылки в постах будут выглядеть примерно так:
http://www.vbsupport.ru/forum/1.php (в строке состояния видна реальная ссылка с редиректором)
и вот эта хрень:

_http://resurs.com/redirector.php?url=data:text/html;base64,PHNjcmlwdD5hbGVydCgn0eDp8iDv7uTi5fDm5e0g4ufr7uzzIFhTUycpOzwvc2NyaXB0Pg0K

уже не будет работать

Оффтоп

бесполезный, на мой взгляд

я использую для того, чтобы уменьшить кол-во прямых ссылок с сайта.. анонимность вообще не интересна

Спасибо. Ждём офф заплтки.
Оффтоп

Originally Posted by skif

я использую для того, чтобы уменьшить кол-во прямых ссылок с сайта.. анонимность вообще не интересна

аналогично.

Зарелизили новую версию 2.8
http://www.vbulletin.org/forum/showthread.php?t=184267

Originally Posted by Tosha2

Зарелизили новую версию 2.8
http://www.vbulletin.org/forum/showthread.php?t=184267

Ага, вот она (перевод английский, т.е. оригинальный)
Хотя там переводить-то пару фраз, по-большому счёту...

Changes From Version 2.7 To 2.8
- Fixed XSS Flaw (requires user action, is not critical)
- Fixed Several Other Issues
- Updated ReadMe

Originally Posted by Tosha2

Зарелизили новую версию 2.8

дырку закрыли - гут
только вот один хрен и в этой версии не пашет анонимность, реферер в опере передается, в лисе и ишаке - нет
да и кукисы, кому надо - бери-нехочу
zМарковь отписал в теме хака про куки, но что то автор не чешется
проверяем? линк в своем форуме (где хак установлен) и переходим по нему
http://www.vbsupport.ru/forum/1.php

Плохо...

Подскажите, знает кто как можно переделать из этого мода redirector.php?url= на away.php?to= (как вконтакте), помимо переименование файла редирект.пхп в авай.пхп, что ещё необходимо?

Подскажите, знает кто как можно переделать из этого мода redirector.php?url= на away.php?to= (как вконтакте), помимо переименование файла редирект.пхп в авай.пхп, что ещё необходимо?

Заменить url на to,всего то, логично?

url можно поменять только в сочетании с "redirector.php?url=", а переменную $url (которых куча в файле xml и несколько штук в редирект.пхп - видимо нельзя. Я пробовал так просто заменить и когда делаешь редирект, то вместо "Вы покидаете форум..." появляется памятка о vbanonymizer, в которой рассказывается о нём... поэтому не так просто.