Спешу обрадовать всех, кто с нетерпением ждал конкурса, с сией минуты конкурс стартует! Правила: -Участвуют в конкурсе только php двиги(выбираете по своему желанию) -Каждый участник выбирает себе двиг(со стандартным набором модулей), в ходе конкурса имеется право сменить его, но набранные баллы обнулятся. -Если двиг платный, то обязательно нужно указать источник, откуда был взят двиг. (линк на скачку) -Популярность двига, не меньше 1000 страниц по дорку в индексе гугла -Интересные уязвимости поощряются дополнительными баллами(с инициативы модераторов) -Отчеты выкладываются в спецтемах(или же в обзорах уязвимостей вашего движка), в данной теме лишь линки на них и вычисления баллов. -В отчете необходимо указать тип уязвимости, требования, дорк, уязвимый код, эксплуатация(PoC по желанию) в оформленном виде -Баллы к уязвимостям считаете по формуле, отнеситесь с ответственностью к этому делу, иначе можете словить бонусный штрафной балл. -За плагиат штрафной балл(мало не покажется), так что очень чутко отнеситесь к анализу найденных перед вами багов Срок проведения конкурса - 20 дней. Помимо главного приза, будут и дополнительные(плюсами в репу не ограничимся ). Дабы не было недоразумений, советую ознакомиться https://forum.antichat.ru/showpost.php?p=1762808&postcount=3 Формула: вес уязвимости * X * Y * (кол-во страниц в гугле / 1000) . X=1 если нет зависимостей X=0.7 если требуется Magic_quotes, X=0.5 если требуется Register_globals. X=0.3 если требуются MQ и RG ------- Y=1 если не нужно регистрации для эксплуатации Y=0.8 если нужны стандартные права, Y=0.3 если нужны права модера/админа. ------- Кол-во страниц в гугле берем таким образом: http://www.google.com/search?q="<dork>" . Чтобы уровнять шансы, кол-во страниц в гугле буду выдавать я, т.к. гугл выдает отличающиеся результаты для разных регионов. (т.е. обращаете внимание на этот критерий при выборе двигов и после окончательного решения я говорю точное число, с которым вы и будете оперировать в расчетах). Вес уязвимостей: Code Execution 10 Include(RFI/LFI) 9/8 SQL-injection(normal/blind/fragment) 7/6/7 Произвольное чтение файлов 6 bypass(в форме авторизации/logical flaws) 4/5 XSS(passive/active) 3/5.5 (лимит у пассивной 1000 б.) Пример: За пример возьмем https://forum.antichat.ru/showpost.php?p=564414&postcount=2 Пользователь halkfild нашел 2 инъекции, 2 раскрытия и 1 пассивную XSS http://www.google.com/search?q="Powered+by+PsychoStats" выдает Code: Результаты 1 - 10 из примерно [b]7 060 000[/b] для "Powered by PsychoStats". (0,06 секунд) --- SQL-inj = 7*1*1*(7 060 000/1000)=49240 б. (представим что во второй скуле rg и требуется регистрация.) SQL-inj = 7*0.5*0.8*(7 060 000/1000)=19768 б. Passive XSS = 3*1*1*(7 060 000/1000) = 21 180(превышает лимит)= 1000 б. В Итоге 46240+19678+1000 = 66 918 б. ---- Ага, набрал больше всех баллов, попыток обмануть жюри не было, косяков в прошлом не числится, айда в РОА!
https://www.forum.antichat.ru/showthread.php?p=1842477 Подсчёт Дорк: "Site powered by GuppY". Результатов в google: 210 000. Уязвимости: 2 passive XSS (полуактивку посчитал всё-таки за пассивку), 3 active XSS, 2 CE (одна в админке). Баллы: 210*(6+5.5*3+10*1.3)=7455.
Code: http://forum.antichat.ru/showpost.php?p=1802676 Есть еще вопрос, все ссылки на новые найденные уязвимости в одном сообщении писать, или каждую уязвимость в новом посте?
в этой теме 1 линк на ресерч выбранного двига. А по мере нахождения новых багов, редактируешь пост куда ведет линк. Когда уверен, что выжал все из двига, оформляешь в этой теме расчеты.
Так, пока в вариантах SMF или Joomla, завтра скажу конкретно, а сейчас спать, спать, спать.. UPD: сраная сессия. нихрена я не делаю. Ладно, сейчас возьму движок попроще, "Forum Software: Burning Board" да поковыряю. UPD2. Всё-таки вы плохо выбрали время для конкурса, сессия это зло. Вообщем за свободный вечер я нашел 2 раскрытия путей и 1 активную xss(с небольшими извратами) в Burning Board. По баллам выходит ~ 1*0.8*5.5*(912 000/1000)=4012,8 1*0.3*10*(912 000/1000)=2736 - выполнение произвольного кода 6748,8 Двиг платный, поэтому скачан отсюда: _ttp://share4all.com/2009/10/23/burning-board-3-1-volcano/ ( Прямой линк на скачку, по просьбе IceAngel_ __tp://dl.dropbox.com/u/3662016/wbb%203.1.0%20PL1%20by%20AsoraX.zip ) Обзор уязвимостей: https://forum.antichat.ru/showthread.php?t=43961
Так господа, я смотрю все всё поняли и начали активно пытаться всех перехитрить =\ Давайте проясним ситуацию. Конкурс планировался не для того, что-бы вы нашли кучу расскрытий и прочего треша и выиграли по очкам. Да, скорее всего в формуле подсчёта есть изъяны, которые можно использовать, но вы как мне кажется забываете, что решения будут приниматься живыми людьми. Ну согласитесь, абсурдно отдавать победу человеку который показал рассктытие в джумле и выиграл по очкам у того, кто взял средненький движок и весь его перетряс. Я пишу это в начале конкурса, пока вы основательно сами себя не загнали в угол, и рекоммендую не сходить с ума и взять нормальные средние по популярности движки и сделать их полный анализ. Ну или если у нас тут настоящие профессионалы и не признают ничего кроме популярных продуктов, то давайте нормальные баги в них, будем только рады
Code: https://forum.antichat.ru/showpost.php?p=1834450&postcount=6 ------------------------------------------------------------ Blind SQL-inj = 6*1*1*(3 130 000/1000) = 18780 Passive XSS = 3*1*1*(3 130 000/1000) = 9390 = 1000 Upload shell (CE) = 10*1*0.3*(3 130 000/1000) = 9390 Итого: 18780+1000+9390 = 29170 б
Clean Nuke 1.1 Разбор уязвимостей: http://forum.antichat.ru/showpost.php?p=1802676 Code: IceAngel_ (08:33:49 5/01/2010) Оффлайн сообщение (04.01.2010 22:38:03) Результаты 1 - 10 из примерно 223 000 для "Powered by WL-Nuke". (0,21 секунд) Local File Include Code: вес уязвимости = 8 X = 1 Y = 0.3 Code: 8 * 1 * 0.3 * (223000 / 1000) = [COLOR=Orange][B][U]535.2[/U][/B][/COLOR] [B](б)[/B] SQL - Инъекция Code: вес уязвимости = 7 X = 0.7 Y = 1 Code: 7 * 0.7 * 1 * (223000 / 1000) = [COLOR=Orange][U][B]1092.7[/B][/U][/COLOR][B] (б)[/B] SQL - Инъекция Code: вес уязвимости = 7 X = 0.7 Y = 0.3 Code: 7 * 0.7 * 0.3 * (223000 / 1000) = [COLOR=Orange][U][B]327.81[/B][/U][/COLOR][B] (б)[/B] SQL - Инъекция Code: вес уязвимости = 7 X = 0.7 Y = 0.3 Code: 7 * 0.7 * 0.3 * (223000 / 1000) = [COLOR=Orange][U][B]327.81[/B][/U][/COLOR][B] (б)[/B] SQL - Инъекция Code: вес уязвимости = 7 X = 0.7 Y = 0.3 Code: 7 * 0.7 * 0.3 * (223000 / 1000) = [COLOR=Orange][U][B]327.81[/B][/U][/COLOR][B] (б)[/B] SQL - Инъекция Code: вес уязвимости = 7 X = 1 Y = 0.3 Code: 7 * 1 * 0.3 * (223000 / 1000) = [COLOR=Orange][U][B]468.3[/B][/U][/COLOR][B] (б)[/B] Итого: 3079,63 баллов
Мы тут Сессия раз в полгода заставляет учится ))) UPD: Движок взятый для исследования etomite v1.1 UPD2:Тема с аудитом движка Code: http://forum.antichat.ru/showthread.php?p=1821897 7*1*0,3*(114000/1000) = 239,4 7*1*0,3*(114000/1000) = 239,4 7*1*0,3*(114000/1000) = 239,4 6*1*0,3*(114000/1000) = 205,2 UPD3: 6*0,3*1*(114000/1000) = 205,2 7*0,7*1*(114000/1000) = 558,6 UPD4: 7*1*0,3*(114000/1000) = 239,4 UPD5: 7*1*0,3*(114000/1000) = 239,4 5,5*1*0,3*(114000/1000) = 188,1; Итого: 2354,1 б
Кто еще не выбрал двиг, прислушайтесь. Осталось 4 дня до завершения(25-го закрываем), поторапливайтесь.(Судя по малому числу участников, подобные конкурсы вряд ли будут проводится в ближайшем будущем. Так что не теряйте шанс проявить активность и показать свои знания.)
Как раз вобла 4 новый двиг, еще в Beta стадии, думаю там найдется не мало чего интересного UPD: Беру vBulletin 4 Suite Beta 5, GOLD'a ждать не буду, ибо пока седня выложут, пока занулят неделю, не успею
1 RulleR Pligg CMS 29170 б =================== 2 Root-access GuppY CMS 7455 б =================== 3 mr.The Burning Board 6748 б =================== 4 mailbrush Clean Nuke 1.1 3079 б =================== 5 [NiGHT]DarkAngel etomite v1.1 2354 б ======================================== Вроде так господа? Ни у кого возражений нет? Ну а вообще -- спасибо большое всем принявшим участие, мы вобщем ожидали большей активности, и хотели продолжить немного конкурс, но судя по кол-ву участников продвижение по группам особого интереса не вызывает, ну что-ж нет так нет. Ещё раз спасибо, тем кто принял участие кто не выиграл думаю в любом случае получили опыт, ну и конечно внимание на себя обратили, моё во всяком случае (как впрочем и те, кто обещал и не сделал ) Если у кого есть претензии\соображения\просто выссказывания по проведению выссказываемся, тему открыл. PS Айс подонок, где ты есть???!!!111. Кто собирался его закрывать в это время? )
Ждем, Iceangel_ он бонус обещал,как сладкое )))) ... Огромное спасибо Вам за проведенный конкурс ... ведь главное не победа,а участие ... жаль что не собираетесь часто проводить такие конкурсы. PS Раз людей было очень мало, то как написал jokester "продвижение по группам особого интереса не вызывает", то получается всех кого это интересует нашли время и поучаствовали в данном конкурсе. Мое предложение взять в RoA всех с испытательным сроком. Но как говорится решать не нам,на все воля модераторов, а это просто предложение.
Есть лишь просто высказывание: спасибо за конкурс, жаль не было активности и азарта, но опыт всё равно получил) P.S. Всем чмоке =)
Да, хочу сказать спасибо, и ещё раз повторить про неудачно выбранное время) Да и жаль активности было мало. Интересно всё-таки посмотреть на других, а не только себя показать(что я по сути так и не сделал.)
Всем конкурсантам спасибо за участие, разослал в ПМ символические подарки )) P.S Все-таки мы с джоком надеялись, что будет больше участников(5 из 20 учавствовало =\ ), предполагалось маленькое продолжение, океан эмоций, бентли и бугатти как утешительные и т.д. и т.п.
Во время конкурса, у меня было время как говорится не до конкурса, к сожелению, потом пишу как наблюдатель со стороны, ни в коем случае не хочу обидеть победителя, так как не сомневаюсь что он человек не глупый, но мне кажется что победил не самый умный, а самый хитрый Т.е. игра была, кто найдёт движок, который ещё не засветился, с багами которые и искать то по сути не нужно, и с самым большим Gсерчингом. Так же ни в коем случае не хочу обидеть создателей данного конкурса. Они сделали что могли и за это им нужно сказать спасибо. ps. Моё имхо. Конкурс для умных, а не для хитрых, допустим: Береться штук 20 движков выбраных создателями конкурса, ну и собственно в них уже все копаются. Фишка в том, что все ищут именно багу, а не халяву. Спасибо за внимание. ps2. По поводу поста ниже.. Ты ошибаешься на счёт дорка.. Даже если сделать так... +intext:"Copyright" +intext:"Advanced Search" +intext:"Pligg Content Management System" +intext:"RSS Feeds" победитель все равно не изменится.
