flash chat help

[jusuf]

karocia jest ujazvmast
FlashChat Adminips.PHP Remote File Include Vulnerability

This vulnerability can be exploited using a web browser.
info :
Class: Access Validation Error
CVE:
Remote: Yes
Local: No
Published: Jun 16 2006 12:00AM
Updated: Jun 16 2006 12:00AM
Credit: SpC-x is credited with discovering this vulnerability.
Vulnerable: TUFaT FlashChat 4.5.7
no ja niznaju kak jijo ispolzovat

[tclover]

Какая каррозия? Какую жижу использовать? Что то я тебя не понимаю.

[Rebz]

Эххх..перестал я следить за моим любимым флеш-чатом -) щас уже качаю эту версию посмотрим что к чему -)

[jusuf]

Какая каррозия? Какую жижу использовать? Что то я тебя не понимаю.
nipanimaju gde szto nada sdelat :(

[Rebz]

Download-session invalid.

:(
к сожалению, не знаю где можно скачать данную версию. Ведь бага именно в ней. скорее всего TuFaT что-то новенькое туда впендюрила.. -)
Adminips.PHP - это файл чтоль?) гм..

[jusuf]

Download-session invalid.

:(
к сожалению, не знаю где можно скачать данную версию. Ведь бага именно в ней. скорее всего TuFaT что-то новенькое туда впендюрила.. -)
Adminips.PHP - это файл чтоль?) гм..
sias ja pospatriu

[Nova]

Линк на чат уже установленный в студию....

[Electro]

Линк на чат уже установленный в студию....
Лучше уж исходники :)

[jusuf]

Лучше уж исходники :)
http://rapidshare.de/files/18604423/FlashChat.v4.5.7.zip.html isxodnik

[Rebz]

ты думаешь мы сами не смогли воспользоваться поисковиком?)

я же писал:
Download-session invalid. Please click here.

Possible reasons:

* Download-session expired. Direct-links last a few minutes for free users and a few days for premium-users.
* You requested this download-session from a different IP than yours. If you use AOL, try a different browser.

[Electro]

Гы.. у меня закачался

[Rebz]

перезалей плз в другое место и скинь сюда ссылку.

[Electro]

Давай завтра я щас на диал-ап е сижу ((

[Electro]

перезалей плз в другое место и скинь сюда ссылку.
Как и обещал
http://www.electronicfiles.net/files/3426/scripts/FlashChat.v4.5.7.zip
Но у меня какие то траблы с мускулом не могу БД создать для него

[jusuf]

Как и обещал
http://www.electronicfiles.net/files/3426/scripts/FlashChat.v4.5.7.zip
Но у меня какие то траблы с мускулом не могу БД создать для него
a sto pishyt ?

[Electro]

a sto pishyt ?
Дело не в чате дело в денвере

[Rebz]

создай таблицу flashchat например. Я нормально все установил. Спасибо за ссылоку.

Гм..что-то ниче нового не заметил :(
нашел лишь пассивную XSS
save.php?id=7ee765abe169351d995c4cb3deb2cdd3&font=Arial%22&size=13px;}--></style><script>alert(document.cookie);</script><!--

но она кажись везде была). Будем-с дальше смотреть.

[T3st3R]

по уязвимостям.
если чат в чате разрешена регистрация, то можно зарегать себя админом.
для этого в форме регистрации вводится дополнительное поле <input type=radio name='role' value=2 CHECKED> и после регистрации можно заходить в админку или в чат - становиться админом:)
ещё есть хитрая фишка с загрузкой пхпшек, но её не буду выкладывать в паблик за избежанием массовых дефейсов;)
так же в админке есть скл-инъекция, но сейчас уже не помню ссыли на бажный скрипт.

[Rebz]

Есть есть желание поделиться (т.е. не для публики), пиши в ПМ -)
Вставка с регистрацией..как я понимаю, работает на всех версиях?

[T3st3R]

Регистрацию пробовал только на FlashChat v.4.5.8
ещё про админов.
если при попытке регистрации чат говорит что то типа "Profiles are only supported for defaultCMS and statelessCMS", то можно попробовать зайти под логином admin и пассом adminpass(:
эта стандартная пара логин/пасс позволяет зайти в чат админом:)

[Electro]

создай таблицу flashchat например. Я нормально все установил. Спасибо за ссылоку.
Я создал но не в этом проблема с мускула пасс исчез теперь говорит что у вас нет права на достум .хым
Чат же при установке сам создает базы .... там тоже оШибка
Идиотизм ...просто кое какие не дороботанные проекты на денвере поэтому не торогаю ( это было оффтоп)
Регистрацию пробовал только на FlashChat v.4.5.8
ещё про админов.
если при попытке регистрации чат говорит что то типа "Profiles are only supported for defaultCMS and statelessCMS", то можно попробовать зайти под логином admin и пассом adminpass(:
эта стандартная пара логин/пасс позволяет зайти в чат админом
Точно не издеваешся ???

[T3st3R]

точно не издеваюсь. ты конфиги стандартные посмотри:)

[Electro]

Ты про это?
<?php
$GLOBALS['fc_config']['db'] = array(
'host' => 'localhost',
'user' => 'root',
'pass' => '',
'base' => 'flashchat',
'pref' => 'flashchat_',
);
?>
Там только один config.php и то для создания БД
Другого файла нет

[Rebz]

нет. Electro, ты вообще не за то зацепился..
Стандартный логин и пасс по дефолту admin - adminpass. Проканывает редко когда..обычно при интеграции с форумом ну и вообще пароль меняют -).

[Electro]

Гы постойте ка я совсем уже запутался вы что про эту админку говорите ? chat/admin/

[Rebz]

да

[Electro]

Упс извеняюсь тода , че то я запутался и подумал что вы имеете виду что можно войти в чат как админ юзер в смысле что модераторскими правами =)

[T3st3R]

кстати, в чат тоже катит такая фишка с авторизацией admin/adminpass;)
там ещё есть такой юзер как spy(spypass) только с него ничего полезного не взять.

[.Slip]

Есть где нибудь он в интернете? Уже установленный.. У меня появились некоторые размышления..

[Electro]

Я например не нашел
У меня появились некоторые размышления.
и какие ??:) Поделись
З.Ы предедущая аватарка была по симпотичнее :D

[.Slip]

и какие ?? Поделись
Нужен чат в он-лайне.. Тогда будет смысл делиться (если получится)
З.Ы предедущая аватарка была по симпотичнее
А это типа смена оформления-)

[T3st3R]

есть.
можешь посмотреть на оффсайте - там есть демки.
а можешь посмотреть в гугле - там есть ссылки:)

[flamik]

check here
http://flashcoms.com ;)