Господа, а есть ли нормальный xss for ipb 2.1.7?

[Silent]

Как ни старался я, гугл ничего не нашел.
"Самое время спросить у вас!", - подумал я.
Что подумал - то и сделал. ;)

[Ksander]

Когда пишеш кому-то в пм, то в поле заголовок прописываеш '><script>Alert(/xss/)</script> , потом
жмеш предварительный просмотр и вуаля, правда не везде канает.

[Silent]

Хех, а какие-нибудь иные варианты найдутся?

[Taylorith]

это я так понял относится не только к ipb но к другим в частности (для меня )))) phpbb,
то есть я с таким же успехом могу зайти в лбую тему написать любое предложение а затем '><script>alert()</script> прописать.Затем нажать предварительный просмотор как в случае отправки сообщения в пм,и может повезт,появится алерт.Я правильно понял??

[Ksander]

Речь идет о ipb, а не о phpbb.



p.s.Хотя пробуй, может найдеш чтото ;)

[Silent]

Как-то странно. За всю историю Ipb было найденно множество дырок в различных версиях.

Та что же мешало опытнейшему разработчику за минуту накалякать простенький фильтр для последней версии? Как-то неправдободобно.../

[}{0TT@БЬ)Ч]

Silent посещай по чаще такие ресурсы и сразу поймешь что для чего делается.

[KPOT_f!nd]

Господа, а есть ли нормальный xss for ipb 2.1.7?
Тебе обезательно XSS надо? А то есть там SQL_injection! вот хочишь почитать:
http://forum.antichat.ru/thread25088.html

[Brahma]

Зачастую доморощенные хацкеры/коддеры забывают сделать самую просту фильтрацию на формы, а всякую херь антихаккерскую прикрутить не забывают...
Если это дело действительно работает - то что следует говорить об уровне "мозгов" в Invision Power Services ? Хотя... и на старуху бывает проруха =) где-то я уже это слышал )

[Taylorith]

короче я на одном форуме,попробовал вот что короче вхожу в созданную тему,(форум кстати на phpbb 2.0.19,это я точно на 70 процентов знаю)тама создаю сообщение и ввожу "><script>alert</script> и нажимаю предварительный просмотор,ничего не выходит,получается алерт не срабатывает,значит xss на создани сообщений проходит??Или вообще на форуме не проходит,проверил фильтр он работает кажись нормально,что мне теперь делать??

[Fr-Ron]

Taylorith, а ты надеялся XSS в сообщении найти? =О
Это же тебе не phpbb -1.0.(-100) alfa , чтоб такие дыры открытыми оставлять. Ты ищи в укромных местах... Всякие поля дополнительной инфы в профиле, скрипты поиска...
Про IPB тут говорили про заголовок личного сообщения, а не про простой пост ;)

[Silent]

Ладно, заголовки не катят.
Может есть что-нибудь с Bbкодами? Или хотя бы эксплойт проверенный и рабочий.

[Taylorith]

вопрос такой ты вот говоришь в скрипте поиска,это если пождробно куда надо вводить???Помоги найти.
И еще мне проверять в скрытых местах вот этим кодом ?? '><script>alert()</script>
чтобы узнать есть ли xss? ИЛи нужно пробовать еще и другими??Хотя врядли...

[Lancellot]

Проверять надо XSS пробуя вводить произвольные команды в строку !Чаще всего они находятся вобще в другорядных заголовках и.т. д а еще видео посмотри на ачате или whack.net!

[KPOT_f!nd]

хых! А тема как называется? Случайно не так:
Господа, а есть ли нормальный xss for ipb 2.1.7?
хых! xss for ipb 2.1.7, а не phpBB 2.0.19!

[Fr-Ron]

Taylorith
Если XSS именно на форуме интересует, то просто в поиск в разных местах повводить. А если сайт какой, то не напрямик к переменным.
Например есть скрипт который высылает пароль к мылу (это у меня недавно такая ситуация была). В адресной строке видно "....../pass.php". Страничка маленькая - текстовое поле и кнопка. Вводишь мэйл и тебе пишут есть такое или нет. Пробовал вводить в сам этот текст - "><script>alert()</script> - , ничего не вышло. Глянул исходник, значение мыла передается переменной "email". И тогда прописал напрямую "....../pass.php?email="><script>alert()</script>" - выдало алерт. Вот примерно так же по скриптам и искать =)

ЗЫ Для того чтоб узнать есть ХСС или нет, достаточно - "><script>alert()</script> - и если будет алерт, то ХСС есть.

[Silent]

Это всё конечно здорово, но боюсь, что приоритет взывает в первую очередь помочь мне.
То есть, как верно подметил Товарищ ZLOY, ответить на вопрос
Господа, а есть ли нормальный xss for ipb 2.1.7?

[_-[A.M.D]HiM@S-_]

Это всё конечно здорово, но боюсь, что приоритет взывает в первую очередь помочь мне.
То есть, как верно подметил Товарищ ZLOY, ответить на вопрос
Господа, а есть ли нормальный xss for ipb 2.1.7?
я немогу понять зачем тебе XSS если есть там SQL это намного легче чем XSs
а если срочно надо у меня есть XSS которую я сам нашол! Но увы это тока из под аккаунта модера можно произвести нападения.

[Silent]

Как из под модератора xss замутить я тоже знаю :)
Но тут вся проблема в том, что для 99.99% случаев атакующий является обычным юзером...

[Fr-Ron]

Sql эта та, что только под рут-админа, да еще если он с админ панели аватарку смотреть будет? Например я посещаю 1 форум. Там около 8 админов. И только 1 из них рут. Рут заходит на форум раз в 2 недели и вряд ли лазает в админку... Ну к чему тут такая Sql?