dnr6419/cve-2018-6905CVE-2018-6905 के लिए चरण-दर-चरण पुनरुत्पादन वातावरण, TYPO3 install.php में एक संग्रहीत XSS भेद्यता, Docker सेटअप और पेलोड निष्पादन गाइड के साथ।
$docker-compose up
http://[web-server ip]:port/typo3 पर जाएँ, निम्नलिखित संदेश को अनदेखा करें।
Directory / is not writable Path /var/www/html/typo3 exists, but no file underneath it can be created.
कंटेनर में चल रही typo3 साइट पर जाकर स्थापना जारी रखें। mysql db का होस्ट db है।
स्थापना के दौरान 4/5 चरण में site name में XSS payload दर्ज करें।
स्थापना पूरी होने और लॉगिन करने पर, आप देख सकते हैं कि XSS नीचे दिखाए अनुसार निष्पादित होता है।
debconf: unable to initialize frontend: Readline debconf: (This frontend requires a controlling tty.) debconf: falling back to frontend: Teletype
RUN apt-get install -y debconf-utils RUN echo 'debconf debconf/frontend select Noninteractive' | debconf-set-selections RUN apt-get install -y -q [package]
www-data उपयोगकर्ता के रूप में चलने वाले apache2 सर्वर की प्रकृति के कारण, typo3 फ़ोल्डर www-data के रूप में बनाया गया।
mysql image को 5.8 संस्करण पर सेट किया गया है।
System Requirements For more information as well as installation instructions see the Installation guide. Operating System Linux, Windows or Mac, or common cloud infrastructure setups Webserver Apache httpd, Nginx, Microsoft IIS, Caddy Server Supported Browsers Chrome (latest) Edge (latest) Firefox (latest) Internet Explorer >= 11 Safari (latest) Database MariaDB >= 10.0 <= 10.3 Microsoft SQL Server MySQL >= 5.0 <= 5.7 PostgreSQL SQLite Hardware RAM >= 256 MB PHP PHP >= 7.2 <= 7.4
mysql कंटेनर में command विकल्प सेट किया गया।
Invalid Charset Your database uses character set "latin1", but only "utf8" is supported with TYPO3. You probably want to change this before proceeding.
