====Zenk Roulette 5 : Cacti 0.8.7g====

**Date :** Mercredi 8 novembre 2010 de 19h à 23h00.

**Application auditée :** Cacti 0.8.7g http://www.cacti.net/ 

**Description :** Outils de monitoring

**Pad :** http://piratepad.net/u0DUksN8kV


------------------------------------------------------------------------------


**Défauts de sécurité :**

------------------------------------------------------------------------------

**Fichier :** auth_changepassword.php

**ligne :** 57
<file PHP>    
header("Location: " . $_POST["ref"]); break;
</file>

Faille de redirection

**ligne :** 40

Multiple Http splitting dans le switch
    
Toutes les fonction form_save() sont vulnérables à des SQLi. Certaines injections SQL sont protégées par un addslashes, mais avec un charset et quelques tours de magies, cela saute. Ce n'est pas une protection suffisante.

-----------------------------

**Fichier :** auth_changepassword.php
<file PHP>
<input type="hidden" name="ref" value="<?php print $_REQUEST["ref"];?>">
</file>

Faille XSS

-----------------------------

**Fichier :** auth_login.php

**ligne :** 195
<file PHP>
if (isset($_SERVER["HTTP_REFERER"])) {
    $referer = $_SERVER["HTTP_REFERER"];
    if (basename($referer) == "logout.php") {
        $referer = "index.php";
    }    
} else if (isset($_SERVER["REQUEST_URI"])) {
    $referer = $_SERVER["REQUEST_URI"];
    if (basename($referer) == "logout.php") {
         $referer = "index.php";
    }
    } else {
         $referer = "index.php";
    }
    header("Location: " . $referer);
</file>

Faille HTTP splitting

**ligne :** 265
<file PHP>
<form name="login" method="post" action="<?php print basename($_SERVER["PHP_SELF"]);?>">
</file>

Redirection possible vers un site malicieux pour récupérer le login et le pass d'un user.

-----------------------------

**Fichier :** cdef.php

**ligne :** 50
<file PHP>
case 'item_movedown':
    item_movedown();
    header("Location: cdef.php?action=edit&id=" . $_GET["cdef_id"]);
    break;
case 'item_moveup':
    item_moveup();
    header("Location: cdef.php?action=edit&id=" . $_GET["cdef_id"]);
    break;
case 'item_remove':
    item_remove();
    header("Location: cdef.php?action=edit&id=" . $_GET["cdef_id"]);
</file>

Faille HTTP Splitting 

**ligne :** 125
<file PHP>
header("Location: cdef.php?action=edit&id=" . (empty($cdef_id) ? $_POST["id"] : $cdef_id));
</file>

**ligne :** 147
<file PHP>
header("Location: cdef.php?action=item_edit&cdef_id=" . $_POST["cdef_id"] . "&id=" . (empty($cdef_item_id) ? $_POST["id"] : $cdef_item_id));
header("Location: cdef.php?action=edit&id=" . $_POST["cdef_id"]);
</file>

**ligne :** 112 & 130
<file PHP>
$save["hash"] = get_hash_cdef($_POST["id"]);
</file>

Faille HTTP Splitting 

-----------------------------

**Fichier :** lib/functions.php
<file PHP>
function get_hash_cdef($cdef_id, $sub_type = "cdef") {
    $hash = db_fetch_cell("select hash from cdef where id=$cdef_id");
}
</file>

**ligne :** 127
<file PHP>
$sequence = get_sequence($_POST["id"], "sequence", "cdef_items", "cdef_id=" . $_POST["cdef_id"]);
</file>

**ligne :** 116 & 137
<file PHP>
$cdef_id = sql_save($save, "cdef");
</file>

-----------------------------

**Fichier :** database.php

**ligne :** 325
<file PHP>
$replace_result = $db_conn->Replace($table_name, $array_items, $key_cols, FALSE, $autoinc);
_adodb_replace($this, $table, $fieldArray, $keyCol, $autoQuote, $has_autoinc);
</file>

Voir la fonction pour plus d'info, mais autoQuote est passé à faux là.

**ligne :** 175
<file PHP>
duplicate_cdef($selected_items[$i], $_POST["title_format"]);
</file>

Car dans le Fichier : lib/utility.php 
**ligne :** 521
<file PHP>
$cdef["name"] = str_replace("<cdef_title>", $cdef["name"], $cdef_title);
</file>

<file PHP>
sql_save($save, "cdef_items");
</file>

**ligne :** 536
<file PHP>
ORDER BY " . get_request_var_request("sort_column") . " " . get_request_var_request("sort_direction") .
</file>

sanitize_search_string est inneficace dans ce cas là.

**ligne :** 239
<file PHP>
<input type='hidden' name='drp_action' value='" . $_POST["drp_action"] . "'>
</file>

Faille XSS

**ligne :** 503
<file PHP>
<input type="text" name="filter" size="40" value="<?php print htmlspecialchars(get_request_var_request("filter"));?>">
</file>

Faille XSS possible avec un bon vector, à vérifier.
           
-----------------------------
          
**Fichier :** color.php

**ligne :** 62
<file PHP>
$save["id"] = $_POST["id"];
$color_id = sql_save($save, "colors");
</file>

Une SQL injection

-----------------------------

**Fichier :** data_input.php

**ligne :** 88
<file PHP>
$save["name"] = form_input_validate($_POST["name"], "name", "", false, 3);
$save["input_string"] = form_input_validate($_POST["input_string"], "input_string", "", true, 3);
$save["type_id"] = form_input_validate($_POST["type_id"], "type_id", "", true, 3);
$data_input_id = sql_save($save, "data_input");
</file>

**La même avec la ligne :** 119

**ligne :** 555
<file PHP>
ORDER BY " . get_request_var_request('sort_column') . " " . get_request_var_request('sort_direction') . "
</file>

**ligne :** 220
<file PHP>
<input type='hidden' name='drp_action' value='" . $_POST["drp_action"] . "'>
</file>

Faille XSS

-----------------------------

**Fichier :** data_queries.php
<file PHP>
header("Location: data_queries.php?action=item_edit&id=" . $_GET["snmp_query_graph_id"] . "&snmp_query_id=" . $_GET["snmp_query_id"]);
    break;
    case 'item_movedown_dssv':
        data_query_item_movedown_dssv();
        header("Location: data_queries.php?action=item_edit&id=" . $_GET["snmp_query_graph_id"] . "&snmp_query_id=" . $_GET["snmp_query_id"]);
        break;
    case 'item_remove_dssv':
        data_query_item_remove_dssv();
        header("Location: data_queries.php?action=item_edit&id=" . $_GET["snmp_query_graph_id"] . "&snmp_query_id=" . $_GET["snmp_query_id"]);
        break;
    case 'item_moveup_gsv':
        data_query_item_moveup_gsv();
header("Location: data_queries.php?action=item_edit&id=" . $_GET["snmp_query_graph_id"] . "&snmp_query_id=" . $_GET["snmp_query_id"]);
        break;
    case 'item_movedown_gsv':
        data_query_item_movedown_gsv();
        header("Location: data_queries.php?action=item_edit&id=" . $_GET["snmp_query_graph_id"] . "&snmp_query_id=" . $_GET["snmp_query_id"]);
        break;
    case 'item_remove_gsv':
        data_query_item_remove_gsv();
        header("Location: data_queries.php?action=item_edit&id=" . $_GET["snmp_query_graph_id"] . "&snmp_query_id=" . $_GET["snmp_query_id"]);
        break;
    case 'item_remove':
        data_query_item_remove();
        header("Location: data_queries.php?action=edit&id=" . $_GET["snmp_query_id"]);
</file>

Faille HTTP Splitting

Code "pourave" :

<file PHP>
function sql_sanitize($value) {
    //$value = str_replace("'", "''", $value);
    $value = str_replace(";", "\;", $value);
    return $value;
}
</file>

<file PHP>
if (empty($regexp_match)) { $regexp_match = ".*"; }
    if ((!ereg($regexp_match, $field_value) || (($allow_nulls == false) && ($field_value == "")))) {
        raise_message($custom_message);
}
</file>

Voila !

Au bout de quelques heures on a commencé a abandonner car il serait plus rapide de refaire toutes l'application plutot que d'essayer de patcher :D

Donc, il doit rester plein de failles etc.. mais on n'a pas eu le courage de continuer ! ;)

En tout cas merci aux personnes présentes : K1wy, Essandre et Barbch.