Уязвимости: Invision Power Board (IPB)

[amir.ro]

У меня в коллекции сломанных от 4 д 8 знаков пароли, есть и сплошь цифровые, чисто дети, прям...

 

[Winux]

SQL-injection в Invision Power Board 2.1.x
Недавно, членом darkcoders, red_byte'ом был обнаружен баг в ИПБ. Баг заключается в недостаточной фильтрации переменной st в списке "кто онлайн"
Уязвимость есть во всех версиях IPB, включая 2.1.5.
Пример:

http://victim/index.php?act=Online&st=-1[your_sql_code_here]

За патчем мне в асю))
[New$paN]

 

[/dev/AVR]

Радует ветка. Буду ждать 1.5 года, потом STABLE версией станет 2.1.x

 

[Furius Angel]

Классная вещь. Кста форум на многих популярных сайтах стоит. На сайте первого канала например

 

[(-util-)]

поэтому я и нелюблю IPB

 

[not null]

Баг заключается в недостаточной фильтрации переменной st в списке "кто онлайн"

Подскажите пожалуйста, а в каком это файле? Я что-то не могу найти...
Инъекция после лимит. А это довольно гемморойная вещь. Там вроде максимум, что можно получить на MySQL - это перенаправление вывода информации в файл. Т.е. максимум - перехватить итендификатор сессии.

 

[red_byte]

Я еще одну багу нашел в IPB, она находится в календаре. Но, кажется, не я первый ее нашел)) на вашем форуме этот баг залатан. Ну надо доработать все, потом может выложу в паблик, кажется о ней еще никто не выкладывал.

 

[Winux]

not null
В каком файле фильтровать? sourses/onloine.php. Функция авторан.

 

[dg-x]

Подскажите примерный запрос на получение хэша(id юзера - 1). А то у меня с sql запросами не очень :P

 

[Winux]

dg-x
Для какого сплойта надо указать?

 

[dg-x]

http://victim/index.php?act=Online&st=-1[your_sql_code_here]
т.е. какой запрос вместо [your_sql_code_here]

 

[Winux]

dg-x
Бле, киддисы задолбали
Ну наверное какойнить из стандартных. Ненаю скока там null'ов, но смысл как всегда в UNION select [тут названия колонок таблички через запятую] from [префикс таблиц]_[название таблицы]

Название таблицы по-моему members. стандартный префикс - ibf
А вот колонки не помню.

 

[not null]

2Winux
по-моему, дефолтный префикс - ibf
кроме того, я еще раз повторюсь, что в MySQL возможно только выведения информации в файл при инъекции после limit, да еще к тому же вот фрагмент уязвимого кода борды 2.1.5

function auto_run()
    {
  //-----------------------------------------
    	// Are we allowed to see the online list?
    	//-----------------------------------------
    	
        $this->ipsclass->input['st'] = intval($this->ipsclass->input['st']);
    	
    	if ( $this->ipsclass->vars['allow_online_list'] != 1 )
    	{
      $this->ipsclass->Error( array( 'LEVEL' => 1, 'MSG' => 'no_permission') );
    	}

Обратите внимание на эту строчку:

$this->ipsclass->input['st'] = intval($this->ipsclass->input['st']);

Так что врядле что у вас получиться ;-)

 

[Winux]

not null
Да, я опечатался.

вот фрагмент уязвимого кода:

Чот не то. Это наверно 2.1.5

Так что врядле что у вас получиться ;-)

Кстате говоря так кавычки надо а они то все равно парсятся. Я вроде писал об этом.

 

[not null]

2Winux
а в других по-другому? Сейчас сорсы другого гляну...
2.0.4 - то же самое
2.0.2 - то же самое
1.3.1 final - вот где наверно кроется реальная уязвимость, хотя опять же после limit...

if (!empty($ibforums->input['st']))
  {
  	$this->first = $ibforums->input['st'];
  }

кавычки надо а они то все равно парсятся

ну а я о чем? Из этого роя не выйдет ничего.

 

[dracula]

а что мне с ним делать?
[mod][not null:] по-моему, четко было сказано, что ничего толкового из этого не выйдет! Хватит флудить[/mod]

 

[euripid]

Название таблицы по-моему members. стандартный префикс - ibf
А вот колонки не помню.

По-моему так...

таблица:
ibf_members_converge

колонки:
converge_id = id на форуме
converge_email = мыло
converge_joined = регистрация
converge_pass_hash = хэш паса
converge_pass_salt = сальт

Вопрос к уважаемым мэмбэрам = кто чем обычно брутит этот хэш?
Видел реализацию для md5($pass).$salt в PasswordsPro v.2.1.0.0
В дэмке ограничение на 20 записей. У кого-нибудь есть работающий триал?

добавлено...
читать здесь http://xss.pro/index.php?topic=7...t=0&#entry45775

 

[not null]

Многочисленные уязвимости в IPB

Программа: Invision Power Board
Уязвимые версии: 2.1.5 и, возможно, более ранние версии
Тип: remote
Опасность: высокая
Описание
1. Выполнение произвольного кода возможно из-за недостаточной фильтрации входящих от пользователя данных. Злонамеренный пользователь может сформировать текст сообщения, а затем выполнить произвольный код.
2. Подключение произвольных файлов возможно при наличии администраторских прав.
Пример:
_http://host/admin.php?adsess=...&section=content&
act=msubs&code=install-gateway&name=
%08%08%08%08%08%08%08%08%08/../class_gw_test
3. SQL-инъекция в файле sources/lib/func_taskmanager.php
Злонамеренный пользователь может сформировать и выполнить произвольный запрос в базе данных (длина запроса не должна превышать 32 символа).
Пример:
_http://www.host.com/index.php?act=task&ck='
Решение: решения в настоящий момент не существует

Источник: spam_(at)_we11er.co.uk
взято с secbun.info

 

[Winux]

Обновления безопасности для сабжа тут.

Кста у нас эта бага почему-то не пахала...

 

[Winux]

Вот кстати еще:
http://victim.com/index.php?act=members&st= -1[sql code]

Переменная st видать вообще не фильтруется. Она не только тут а еще и в темах и много где. На этот раз баг нашли Киберлордс.