Царь говно кодеров ? или хитрость ? дыра в модулях punpun`а

Дорогие форумчане!

Не давно, взломали один очень хороший сайт. Пытались выяснить как все таки взломали. Весь код сайта перепроверили, но нечего. Под подозрения попали сторонние модули а именно модули PunPun `а (и не зря). Открыв базу, все стало ясно. В таблице модуля "Collection", в которой по идеe должны быть картинки (jpg, png и тд), нашли файлы формата php, php7 и тд. В чем дыра то, спрашиваете ? Дыра в том что, файл который загружает картинки модуля на ваш сайт, не проверяет файл какого формата. ниже код

PHP:

@error_reporting ( E_ALL ^ E_WARNING ^ E_NOTICE );
@ini_set ( 'display_errors', true );
@ini_set ( 'html_errors', false );
@ini_set ( 'error_reporting', E_ALL ^ E_WARNING ^ E_NOTICE );

define('DATALIFEENGINE', true);
define( 'ROOT_DIR', substr( dirname(  __FILE__ ), 0, -12 ) );
define( 'ENGINE_DIR', ROOT_DIR . '/engine' );

include ENGINE_DIR.'/data/config.php';

date_default_timezone_set ( $config['date_adjust'] );

if ($config['http_home_url'] == "") {

    $config['http_home_url'] = explode("engine/ajax/xf_file.php", $_SERVER['PHP_SELF']);
    $config['http_home_url'] = reset($config['http_home_url']);
    $config['http_home_url'] = "http://".$_SERVER['HTTP_HOST'].$config['http_home_url'];

}

require_once ENGINE_DIR.'/classes/mysql.php';
require_once ENGINE_DIR.'/data/dbconfig.php';
require_once ENGINE_DIR.'/modules/functions.php';

$data = array();

$error = false;
$files = array();

$uploaddir = ROOT_DIR . '/uploads/xf_img/' . date('Y-m-d') . '/';
// если директория не существует, создает ее с правами 777 чтобы можно было использовать файлы как хочется
if( ! is_dir( $uploaddir ) ) mkdir( $uploaddir, 0777 );

// В цикл берется массив $_FILES и сразу же копируются все файлы, не проверяя формат и тд
foreach( $_FILES as $file ){
    $file_name = date('H_i_s') . '_' . $file['name'];
    $file['name'] = iconv("UTF-8", "windows-1251", $file_name);
    $name_db = $config['http_home_url'] . 'uploads/xf_img/' . date('Y-m-d') . '/' . $file_name;
    $name_bd = '/uploads/xf_img/' . date('Y-m-d') . '/' . $file_name;
    if( move_uploaded_file( $file['tmp_name'], $uploaddir . $file['name'] ) ){
        $files[] = "[center][img]" . $name_db ."[/img][/center]";
        $db->query("INSERT INTO " . PREFIX . "_xfield_files (name, url) VALUES ('0', '$name_bd')");
    }
    else{
        $error = true;
    }
}
 
$data = $error ? array('error' => 'Ошибка загрузки файлов.') : array('files' => $files );

echo json_encode( $data );

PHP:

// если директория не существует, создает ее с правами 777 чтобы можно было использовать файлы как хочется
if( ! is_dir( $uploaddir ) ) mkdir( $uploaddir, 0777 );

PHP:

// В цикл берется массив $_FILES и сразу же копируются все файлы, не проверяя формат и тд
foreach( $_FILES as $file ){

Это дыра есть в несколько его модулях - xField Meta, Collection, Cat Meta, Tags Meta
Только эти модули у меня были с открытым кодом, как не странно в них это же дыра

Как же закрыть ее ? Просто ...
открываем файлы
xField Meta - engine/ajax/xf_file.php
Cat Meta - engine/ajax/cat_file.php
Collection - engine/ajax/coll_file.php
Tags Meta - engine/ajax/tag_file.php

находим

PHP:

mkdir( $uploaddir, 0777 );

заменим на

PHP:

mkdir( $uploaddir, 0755 );

находим

PHP:

$file_name = date('H_i_s') . '_' . $file['name'];

после вставим

PHP:

if (！in_array((str_replace(".", "", substr($file['name'], (strrpos($file['name'], "."))))), array('jpg', 'jpeg', 'png', 'gif')))    continue;

таким образом запрещаем загрузки всех форматов кроме форматов jpeg, jpg и png

 

нет дружище) именно платные взял ))