как обойти mod_security?
 

На серваке стоит mod_security2
Когда пытаюсь отправить POST запрос, в котором есть вида system($_GET['rrrra']); - сервак выдает:
501 Method Not Implemented
POST to /my-buggy-script.php not supported.


В инете увидел, что это происки mod_security, если отправлять простой пост запрос вида Word - все окей.

Как можно обойти?

<?eval(stripslashes($_GET[lol]));?>

Хм, кавычка не влияет, значит похоже system фильтрует, сейчас через eval попробую.

похоже фильтрует именно eval() passthru() и system()

Что еще можно придумать?

Дать ссылку в личку и не рассказывать сказки

ЗЫЖ

а вообще, все по русски написано:

POST to /my-buggy-script.php not supported.

купи словарь, я сначала подумал, что ты шелл уже льешь

Ну и? Глаза открой - я в 1ом посте написал, что простой пост запрос нормально проходит.

PS Про сказки с друзьями во дворе разговаривай.

ок

mod_security это если очень просто - набор фильтров и правила, по которым сервер реагирует на то, что прописано в правилах.

Поэтому ответ на сабж - ХЗ. Всё зависит от того, что прописано в фильтрах
Чмоки тебя в счоки. Не забывай про нас, продолжай вносить минуты радости в суровые хакерские будни :)

Набор базовых правил mod_security можно обойти различными альтернативными конструкциями. Если для SQL-инъекций не так много вариантов, то для PHP-injection можно придумать массу: например, assert() вместо eval(), `cmd` вместо system() и т.д.

если шелл уже стоит на серваке тогда через javascript делай base64_encode и на серваке base64_decode разкодируй

xena-mil1
нет, не стоит, как раз хочу залить.

у меня было фильтровалось "fwrite()", помогла замена: function foawrite($f,$st){eval("fwr"."ite($f,$st);");} :)