Открой сорцы qTox, посмотри обработку кнопки Accept, смотри какие функции там вызываются, их не так много, там пара функций, и потом колбэки зарегистрированные дергаются. Судя по гифке отрабатывает сразу же после нажатия Accept, а уже через время диалог прогружается слева, потом появляется ник и статус, поэтому есть предположение, что бага очень близко в обработчике Accept, а не в последующих колбэках подгрузки инфы о собеседнике.
-
XSS.stack #1 – первый литературный журнал от юзеров форума
Техническое обсуждение RCE в Tox 1.17.6
- Автор темы Kekeglya
- Дата начала
Инфа интересная без базара. А советовать - придумать легенду тем кто не слушал советов(да хули там советы, это же очевидно) что на дарк форумы нельзя ходить со своего ип, это смешно. Это по определеню граждане которым никакие советы не помогут, да они ими и не пользуются, вот в чем рофл. А инфа да, интересная.
потому что изначально можно было только ип за прокси тора узнать, когда до rce докрутили, повысили цену
qTox/serialize.cpp at master · qTox/qTox
qTox is a chat, voice, video, and file transfer IM client using the encrypted peer-to-peer Tox protocol. - qTox/serialize.cpp at master · qTox/qTox
github.com
qTox/serialize.cpp at master · qTox/qTox
qTox is a chat, voice, video, and file transfer IM client using the encrypted peer-to-peer Tox protocol. - qTox/serialize.cpp at master · qTox/qTox
github.com
qTox/serialize.cpp at master · qTox/qTox
qTox is a chat, voice, video, and file transfer IM client using the encrypted peer-to-peer Tox protocol. - qTox/serialize.cpp at master · qTox/qTox
github.com
автор https://t.me/ShizoPrivacy
Я советовал это тем, кто уже на них так заходил, потому что скоро жди гостей. А не как меру по защите на будущее, очевидно) Там же написано, что начались эти проверки, и скоро к таким придут, поэтому придумайте легенду. Ебушки, ну)
Скрытый контент для пользователей: .
Выше было интересное наблюдение от u0p. Если кто-то не увидел, сообщение (было на модерации).
Разве 1016 это проблема? Или я что то не понял.
хакеры, которых мы заслужили.
да это может мусора и были
Да, это проверка длины при отправке сообщения, то есть когда кидаешь запрос, не можешь всунуть сообщение длиной более 1016 символов, и вероятно, если составить вручную пакет, который не будет следовать этому правилу, то при приеме такого сообщения qTox будет ожидать сообщение не длиннее чем 1016 символов. Я пока не нашел время поковырять сорцы, но смею предположить что переполнение именно там. Либо как указали выше с сылкми на гитхаб - ошибка обрезания числа, это может срабатывать в комплексе, но так как сорцы открыты, думаю пытливые умы скоро напишут PoC в паблик.
Это как минимум не этично к покупателю. Как хорошо что я перестал пользоваться токсом еще в 2017 году. Джаббер получше токса будет. Но он тоже не идеал. Учитывая что зеродиум багбаунти сделал. Сейчас многие популярные месседжеры находятся под прицелом. Особенно сигнал.
Существует старый проверенный способ общения, но я о нем говорить не буду. Тот кто понял тот понял.
Почему неэтично ? Если я (или любой другой участник форума) смогу взять и повторить, кто запретит мне опубликовать уязвимость ? Не существует патентов на уязвимости, и если один ее нашел, то другим искать запрещено? А когда повторят - это уже решать тому, кто смог повторить, что с ней делать.
Другой вопрос в том, захочет ли человек ее публиковать, или будет использовать сам, или продаст подешевле.
Покупателю надо было думать головой прежде чем платить 20 btc за дыру в опенсорс проекте. Там даже IDA открывать не надо, сорцы достаточно открыть и искать. Причем продавец сам на гифке максимально сильно сузил круг поисков, и облегчил жизнь пытливым умам. Такие уязвимости должны описываться одной строкой "qTox v1.17.6 rce, все подробности в лс". Вот тогда пытливым умам будет гораздо труднее понять где же эта уязвимость, и у покупателя не будет повода волноваться, что то, за что он заплатил 20 btc скоро окажется в паблике.
Если немножко гиперболизировать эту ситуацию, продавец с тем же успехом мог на гифке запалить сорцы срипта, который посылает запрос в друзья, а потом надеяться, что это никто не повторит. Это смех.
Последнее редактирование:
не этично, но не запрещено. хотя это еще с какой стороны посмотреть. Ведь скажем было одно время исходники не отдавали, а выдавали билд. А если билд декомпилировать\крякнуть за такое и бан получали люди, при действующем продажнике. Из всего этого какой вывод? toxcore дырявый, собственно как и любое другое ПО. А коль он опенсурс, можно натравить на него pvs studio и посмотреть.
ты про pgp?
5 страниц обсуждения ВООБЩЕ НИЧЕГО
Есть гифка где ничего не видно, есть профиль тс где ни одного упоминания сплойт дева до этого не было(но был шиллинг брайра и засер токса)
И продажа без гаранта через часов 10 или сколько там?Охуительная история
В описании запуска экплойта .zip домен новый, в описании какие-то непонятные байты
Идите уже отправьте пакет с "AAAAAAAAAA...." в буффере куда в друзья принимаются и провьте че там.
Вангую - нихуя нет.
Тем более с опенсорсным софтом, буквально просто добавить system("putty.exe") на добавление в друзья
Есть гифка где ничего не видно, есть профиль тс где ни одного упоминания сплойт дева до этого не было(но был шиллинг брайра и засер токса)
И продажа без гаранта через часов 10 или сколько там?Охуительная история
В описании запуска экплойта .zip домен новый, в описании какие-то непонятные байты
Идите уже отправьте пакет с "AAAAAAAAAA...." в буффере куда в друзья принимаются и провьте че там.
Вангую - нихуя нет.
https://xss.pro/threads/88978/#post-619706
Я вам такие видео могу клепать на любой софт за 50 долларов штукаТем более с опенсорсным софтом, буквально просто добавить system("putty.exe") на добавление в друзья
Последнее редактирование:
lol, carrier pigeons with PGP
P.Durov beginning
P.Durov beginning
Use xss.pro pm with encryption, and fuck all kind of messengers.
I request from admin kindly to verify this RCE by himself or someone trusted from moderators, this is not verified with gif video, someone must verified it.
I request from admin kindly to verify this RCE by himself or someone trusted from moderators, this is not verified with gif video, someone must verified it.
Я вот считаю что даже гифка лишняя для такого. Вот ты у себя в соседней ветке с хромом нормально оформил гифку, там вообще нихера не понятно, что просиходит под капотом и чем вызвано срабатывание. А он гифкой сам показал куда копать, что бы найти клад, если он там действительно есть.
Как написал выше weaver, этот мусор в сообщении может быть просто отображенной там памятью как строка, а повреждение памяти может происходить еще до того, как пользователь нажмет Accept, но сам шеллкод отрабатывает позже.
Всем лень проверить, потому что это надо поднять задницу и сделать это, а ще все так же как ты сомневаются в том что это вообще не фейк, и не хотят тратить время. Но то что токс дырявый, уже пару человек показали, приложив пару ссылок и участков кода из сорцев qTox
del plz