Пост эскплуатация SQLI

[zeonx]

Всем добра! Друзья, в общем есть сайт конкурента, который быстро вырос в позициях. Продает цифровой контент. Сайт Работает более 2х лет. Как оказалось, весь контент который у него есть, был "стырен" у меня с сайта. Который я долго время накапливал. Собственно, решил провести "аудит" его сайта и нашел уязвимости в SQL уязвимость. Который дал мне дойти до Админки сайта.

Админка какая-то ADMIN TS. Который управляет подпиской, платежами и пользователями. Админка может только редактировать роли и пароли пользователей.

Что мне нужно:
- Понизить в ТОПЕ Гугл и Яндекса.
- Долгосрочно без палева для админа.

Что имею:
- SQLI , при этом права в системе только USAGE, то есть чтение.
- Нет загрузки файлов ни на сайте ни в админке
- Посещаемость сайта в среднем 4000уников в день, максимум 18000.
- Удалить всех юзеров и весь контент, но думаю бекапы у него имеются.

Есть возможность редактировать контент, например использовать js в редакторе.

Прошу просто поделиться мнениями опытных пентестеров, логикой дальнейших действий и сценариями, что. Достичь поставленных целей.

 

[c0d3x]

Есть возможность редактировать контент, например использовать js в редакторе.

<noindex> не вариант?

Долгосрочно без палева для админа.

Думаю это нереально. Как только он заметит снижение - начнет разбираться, может наймет сеошника или кого-то еще. Причину найдут в любом случае.

 

[zeonx]

noindex не вариант , потому что редактировать можно только защищённый контент. А он не индексируется поисковиками. Т.е. это закрытая часть сайта.

Один из вариантов думал, периодически запускать тяжёлые SQL запросы типа BENCHMARK чтоб замедлить сайт. Но не нашел практической реализации
Пытался сделать так
BENCHMARK(100000, BENCHMARK(10000, NOW()))
Но даже это никак не грузит сайт. Запросы хавает спокойно.
Может есть какие то ещё варианты ? Скажем так , неубийственный DOS, хотя бы уменьшить отклика сервера.
Да и к слову особо не админится это сайт.

 

[zeonx]

Ещё как вариант пробовал в течение недели генерить отказной трафик. Сгенерил трафик по ключевым запросам, получилось где то сделать 12000 отказного трафика но это кажется совсем мало.

 

[Desoxyn]

- Долгосрочно без палева для админа...

...редактировать можно только защищённый контент. А он не индексируется поисковиками. Т.е. это закрытая часть сайта.

Думаю это нереально. Как только он заметит снижение - начнет разбираться, может наймет сеошника или кого-то еще. Причину найдут в любом случае.

Тоже склоняюсь к мнению, что "не вариант" и "нереально". Даже сеошника или еще кого нанимать не надо будет, админу будет достаточно посто зайти на сервак. Т.к. при редакте js чз админку, по идее, изменится touch таймстамп у редактируемого файла (содержащего твой js), и подменить его таймстамп без доступа к серваку не выйдет. Какой нибудь простейшей командой типа "find ./ -mtime -5" (просто пример) алмин выведет всё отредаченное за последние 5 дней. Даже засунув нулевой фрэйм на всякие непотребства, чтобы у посетителей алерты в браузере выскакивали (если не совсем закрытая часть сайта, которая исключительно для админа) ты ние не добьешься ничего, кроме палива, по сути. В идеаленужно аплоадить и желательно реверс шелл для получения баш оболочки ))

- SQLI , при этом права в системе только USAGE, то есть чтение.
- Удалить всех юзеров и весь контент, но думаю бекапы у него имеются.

А чо, при USAGE можно drop'ы делать, или у твоего юзера есть права? Обычно у usage нет этих привелегий. Да и контент так же должен храниться в бд, а не только кастомеры. Если же через админку есть такой функционал - то ты все равно только "немного поднасрешь" может на пару сотен клиентов, которые зарегались до недавнего бэкапа.Ну и\или на немного незабэкапленного контента, который он после все равно спиздитт у тебя

BENCHMARK(100000, BENCHMARK(10000, NOW()))

Очень плохая идея. Во первых, надо тестить и увеличивать постепенно значение для вложенного бенчмарка (у тебя маловато), во вторых усиль нагрузку выполнением какого нибудь условия для функции (например получая md5 из даты, типа BENCHMARK(500000,BENCHMARK(500000,md5(current_date)))
т.к. я не вижу особого смысла в твоем примере. Ты просто получаешь DATETIME ф-цией NOW() 100к ьраз, но не производишь над ним никаких тормозащих сервак манипуляций, т.е. "высчитывать" ничего ему не надо, только получать готовую инфу. Можн еще "усилить" чем нибудь послложнее, но тогда нужно уменьшить кол-во итераций + Хоть вложенный бенч и выполняется относительно "долго" (на современных то мощностяхъ), тебе все5 равуно мапом надо будет досылать несколько (может и десятков) запросов в секунду. Короче или тонко надо делать, или не делать совсем, дичайшее паливо и неиллюзорный риск загнать сервак в даун

Сорри, если я где то написал невнятно (нем огу вычитывать), или вообще бред... я щас сижу на головной боли и мозги с трудом шевелятся ))) Отпаиваюсь кофе. Последствия всенощных возлияний в честь 23го февраля. Но "я художник, я так вижу"

 

[etc/passwd]

Я не разбирюсь в SEO , но что если скрыто вставлять ссылки на сайты, которые забанены в гугле?

 

[zeonx]

Я не разбирюсь в SEO , но что если скрыто вставлять ссылки на сайты, которые забанены в гугле?

Да кстати возможно. Только вот куда могу вставить такие ссылки, так это закрытая часть сайта. Будут ли они учитываться и будет ли эффект ?

 

[c0d3x]

Да кстати возможно. Только вот куда могу вставить такие ссылки, так это закрытая часть сайта. Будут ли они учитываться и будет ли эффект ?

Если это и эффективно (размещение таких ссылок), то размещены они должны быть на тех страницах которые может парсить/индексировать поисковый бот. Нужно проверить руками в гугле, есть ли эти страницы (на которых ты собираешься разместить линки) в поисковой выдаче вообще. В противном случае это не будет иметь эффекта.

 

[zeonx]

Если это и эффективно (размещение таких ссылок), то размещены они должны быть на тех страницах которые может парсить/индексировать поисковый бот. Нужно проверить руками в гугле, есть ли эти страницы (на которых ты собираешься разместить линки) в поисковой выдаче вообще. В противном случае это не будет иметь эффекта.

На сайте установлен счётчик гугл. Возможно он сможет прочесть данные с закрытой части. Ну пока не разобрался.
А что если есть у меня доступ к сайту, например новостной сайт, который имеет достаточный трафик. И есть возможность вставить туда невидимую ссылку или iframe. Как можно это реализовать? Если да, что лучше использовать ?
- Ссылку на символы (.,!?)
- Iframe
- невидимый текст типа example.ru

 

[BLUA]

noindex не вариант , потому что редактировать можно только защищённый контент. А он не индексируется поисковиками. Т.е. это закрытая часть сайта.

Один из вариантов думал, периодически запускать тяжёлые SQL запросы типа BENCHMARK чтоб замедлить сайт. Но не нашел практической реализации
Пытался сделать так
BENCHMARK(100000, BENCHMARK(10000, NOW()))
Но даже это никак не грузит сайт. Запросы хавает спокойно.
Может есть какие то ещё варианты ? Скажем так , неубийственный DOS, хотя бы уменьшить отклика сервера.
Да и к слову особо не админится это сайт.

Ну если у тебя есть возможность редактировать страницы....вредоносная деятельность точно снизит его позиции в поиске.
И лучше бы ты занялся своим сайтом а не конкурентом, хотя бы сделал так, чтобы контент у тебя не п№здили

 

[BLUA]

Вот кстати, почитай http://xssforum7mmh3n56inuf2h73hvhnzobi7h2ytb3gvklrfqm7ut3xdnyd.onion/threads/78737/
может натолкнёт тебя на какие-то мысли

 

[Desoxyn]

Да кстати возможно. Только вот куда могу вставить такие ссылки, так это закрытая часть сайта. Будут ли они учитываться и будет ли эффект ?

А ты запихай свое непотребство в "robots.txt", даже если это закрытая часть сайта - и сразу увидишь эффект ))) Только думаю он тебе не понравится, т.к. там твой контент "пизженный" на сайте доноре тоже пойдет под раздачу, А будет влиять или нет - тестируй.

И лучше бы ты занялся своим сайтом а не конкурентом, хотя бы сделал так, чтобы контент у тебя не п№здили

Самый толковый совет из всей темы

 

[c0d3x]

- невидимый текст типа example.ru

Невидимый анкор на сайт под фильтрами, с невидимым текстом (под цвет фона сайта) - это до сих пор работает. А если еще и на нескольких страницах сразу, на разные сайты (которые под санкциями) - то должно быстро сработать, буквально в течение 5~10 дней. Можно попробовать в качестве анкорных ссылок юзать какую нибудь гадость из реестра РКН (нарко/порно таматики).

 

[Desoxyn]

Невидимый анкор на сайт под фильтрами, с невидимым текстом (под цвет фона сайта) - это до сих пор работает. А если еще и на нескольких страницах сразу, на разные сайты (которые под санкциями) - то должно быстро сработать, буквально в течение 5~10 дней. Можно попробовать в качестве анкорных ссылок юзать какую нибудь гадость из реестра РКН (нарко/порно таматики).

Даже засунув нулевой фрэйм на всякие непотребства

Я ж писал подобное уже. Не прокатит беспалева (как ТС хочет). А с паливом не принесет должного резалта.

 

[vagabond]

Разошли гадости пользователям от имени сайта, так чтобы они отписались на всяких irecommend и т.п.