fichier.php.txt est éxécuté... faille ?

[seebz]

Bonjour,
j'ai remarqué que des fichiers contenant '.php.' dans leur noms étaient éxécutés par php chez OVH (par exemple test.php.txt ou test.php.jpg)

j'ai lancé une discussion sur le forum ovh mais ca ne semble pas intriguer beaucoup de monde (mis à part ktp que je remercie pour sa participation)

personnellement, je trouve ce comportement étrange (celui d'apache hein ) et assez 'dangereux'.
qu'en pensez-vous ?

[LiFi]

Si c'est vrai c'est clair que c'est super dangereux C'est étonnant, selon depuis combien de temps c'est comme ça, on devrait voir beaucoup plus de posts de gens sur ovh venir pleurer de s'etre fait hacker leur sites. Comme je n'ai pas vu cette tendance je me dis soit que ce comportement est très récent, soit tu te trompes quelque part, soit les hackers ont décidemment que l'embarras du choix de failles à exploiter et donc rien ne ressort sur WRI en particulier pour les sites hébergés sur ovh.

[seebz]

Testé sur xxplan, ca peut-être très puissant car du code php contenu dans une image n'est pas détecté par getimagesize() s'il se trouve à la fin du fichier

j'ai été plus loin dans mes investigations :

j'édite une image que je nomme 'image.php.jpg' et y ajoute à la fin :
Code PHP:
<?php file_put_contents('hack.txt', 'azerty') ?>
constatations :
- getimagesize() me donne les informations (correctes) de l'image
- <img src="wink.php.jpg" /> affiche correctement l'image
- 'hack.txt' a été créé sur le serveur
- http://serveur/wink.php.jpg n'affiche pas l'image mais son contenu (normal, content-type n'est pas correct)

Vous trouvez ça normal ???

[Topsitemaker]

En tout cas c'est moins dangereux que de lire du php non interprété, c'est surement pour éviter ce genre de problèmes.

[Rod la Kox]

En tout cas c'est moins dangereux que de lire du php non interprété, c'est surement pour éviter ce genre de problèmes.

??? Une extension se lit suivant elle, pas un autre passage du fichier.

[seebz]

Apparement, ovh va corriger ça..

[Concombre Masqué]

J'ai le même problème, sur ovh aussi, sur mon dédié... le problème a-t-il été résolu pour vous ?

[Bool]

Je viens de lire ça, même les dédiés en release OVH semblent impactés... c'est hallucinant ce truc.

[YoyoS]

En effet c'est étrange, il parait qu'ils vont faire la mise à jour sur tous les serveurs d'un coup très bientôt.

[Bool]

"très bientôt", pour une faille d'une telle ampleur, je trouve le délai hyper long là.

[YoyoS]

Moi aussi, on pourrait très bien s'amuser à rechercher n'importe quels sites francophones avec upload de fichiers, d'images ,etc et causer des dégâts. On a quand même une grande chance de tomber sur un site hébergé chez ovh ... Enfin c'est surtout pour les autres car moi je renomme le nom des fichiers avant sauvegarde sur le serveur.

[seebz]

"très bientôt", pour une faille d'une telle ampleur, je trouve le délai hyper long là.

Début de semaine prochaine il semblerait..

Au moins, ils ont quand même pris ça au sérieux.. pas comme le support technique (via le manager) qui a été d'un "lourdeur" pas possible (pas peur de le dire )

[YoyoS]

Oue, sur le manager, c'est horrible. Tu leur explique un truc, ils lisent la première ligne, tu renvoies la suite, ils lisent la première ligne, et ainsi de suite ...

M'enfin, on les aime bien , quand on a pas de problèmes en tout cas

[seebz]

Oue, sur le manager, c'est horrible. Tu leur explique un truc, ils lisent la première ligne, tu renvoies la suite, ils lisent la première ligne, et ainsi de suite ...

M'enfin, on les aime bien , quand on a pas de problèmes en tout cas

C'est exactement ça

[seebz]

Pas très réactif, ils ont prétendu corriger cette faille début de la semaine du 12/01 et ce n'est toujours pas fait

je ne veut pas casser du beurre sur leur dos mais j'en attendais quand même plus de leur part