Форумы sql-inj в ipb <=2.1.7

Discussion in 'Уязвимости CMS/форумов' started by Digimortal, 9 Oct 2006.

Thread Status:
Not open for further replies.
Page 2 of 3
  1. Vilen

    Vilen Banned

    Joined:
    1 Jul 2006
    Messages:
    51
    Likes Received:
    8
    Reputations:
    -1
    нда, одну проблему решили, теперь блин попробуй заставь админа навести на твой аватар.
    вопрос таков :
    он навести должен на твой аватар ?
    глянуть твою тему просто с твоим аватаром ?
    или как вообще ? :)
     
    #21 Vilen, 27 Oct 2006
  2. _-[A.M.D]HiM@S-_

    _-[A.M.D]HiM@S-_ Green member

    Joined:
    28 Dec 2005
    Messages:
    441
    Likes Received:
    454
    Reputations:
    696
    _http://rapidshare.com/files/343881/sql_inj_ipb_2.1.7_and_early_from_BMaster_Xvid.rar
     
    #22 _-[A.M.D]HiM@S-_, 27 Oct 2006
  3. Vilen

    Vilen Banned

    Joined:
    1 Jul 2006
    Messages:
    51
    Likes Received:
    8
    Reputations:
    -1
    Значит надо чтобы админ проссмотрел твой профиль из админки.
    Но почему то у меня из мозилы не пахало. Из оперы и ИЕ всё гуд.
    Да насчёт подписи, я бы в админку не лез, я бы прямо с форуме убрал бы её ;)
     
    #23 Vilen, 27 Oct 2006
  4. Serafim

    Serafim Elder - Старейшина

    Joined:
    24 Oct 2006
    Messages:
    181
    Likes Received:
    103
    Reputations:
    18
    Есть форум...Аву по урл нельзя вставлять только можно грузить с компа,а вот фотку можно...Вопрос можно ли через фото это зделать или только через аватар?А и ище момент: Файли должен бить на своём форуме ипб?И имейдж тоже должен с ипб быть?
     
    #24 Serafim, 27 Oct 2006
    Last edited: 27 Oct 2006
  5. _-[A.M.D]HiM@S-_

    _-[A.M.D]HiM@S-_ Green member

    Joined:
    28 Dec 2005
    Messages:
    441
    Likes Received:
    454
    Reputations:
    696
    Помойму с компа тебе неудаться загрузить аватарку с содержимым.Форум проверяет аватар на наличее вредноносного кода :)
     
    #25 _-[A.M.D]HiM@S-_, 27 Oct 2006
  6. Серёга2

    Серёга2 New Member

    Joined:
    29 Sep 2006
    Messages:
    0
    Likes Received:
    0
    Reputations:
    0
    сам же сказал что .htaccess надо
    к тому же если права грамотно стоят, то не прокатит
     
    #26 Серёга2, 27 Oct 2006
  7. CaH9

    CaH9 Elder - Старейшина

    Joined:
    16 Apr 2006
    Messages:
    34
    Likes Received:
    10
    Reputations:
    0
    я брал код с сайта где можно через url и вставлял его на место того где незя , ток там адресс сайта в коде менял и все ок было !
     
    #27 CaH9, 27 Oct 2006
  8. Serafim

    Serafim Elder - Старейшина

    Joined:
    24 Oct 2006
    Messages:
    181
    Likes Received:
    103
    Reputations:
    18
    Уже протестил и понял :) А вот насчет "Момента"? :)
     
    #28 Serafim, 30 Oct 2006
  9. bxN5

    bxN5 Elder - Старейшина

    Joined:
    8 Jan 2006
    Messages:
    687
    Likes Received:
    138
    Reputations:
    32
    У кого ето работало не на локалке?
    Автор сними видео о том как ты делаеш ето в инете плз.
     
    #29 bxN5, 30 Oct 2006
  10. }{0TT@БЬ)Ч

    }{0TT@БЬ)Ч Elder - Старейшина

    Joined:
    20 Jan 2006
    Messages:
    269
    Likes Received:
    140
    Reputations:
    31
    Dala$$ разницы нет на чем показывать все одинакого.Если что то не получилось спрашивай поможем.
     
    #30 }{0TT@БЬ)Ч, 30 Oct 2006
  11. }{0TT@БЬ)Ч

    }{0TT@БЬ)Ч Elder - Старейшина

    Joined:
    20 Jan 2006
    Messages:
    269
    Likes Received:
    140
    Reputations:
    31
    Fr-Ron а .htaccess создавал?
     
    #31 }{0TT@БЬ)Ч, 31 Oct 2006
    Last edited: 31 Oct 2006
  12. Twister

    Twister New Member

    Joined:
    12 Jul 2006
    Messages:
    4
    Likes Received:
    0
    Reputations:
    0
    Этож геморойство, админ может только на след. день заглянуть на форум, тем более в админ. панель
     
    #32 Twister, 31 Oct 2006
  13. nightmare007

    nightmare007 New Member

    Joined:
    28 Oct 2006
    Messages:
    17
    Likes Received:
    1
    Reputations:
    0
    народ...кто нить, перезалейте sql_inj_ipb_2.1.7_and_early_from_BMaster_Xvid.rar на каконибуть другой сервак ...чото с рапидой траблы
     
    #33 nightmare007, 31 Oct 2006
  14. Little_W

    Little_W New Member

    Joined:
    10 Sep 2006
    Messages:
    4
    Likes Received:
    0
    Reputations:
    0
    http://www.rapidshare.ru/88941
     
    #34 Little_W, 31 Oct 2006
  15. Fr-Ron

    Fr-Ron Elder - Старейшина

    Joined:
    10 Sep 2006
    Messages:
    184
    Likes Received:
    72
    Reputations:
    13
    На локалке он есть от апача, но я его не менял даже.
    А на ИБП ведь кроме проифя ниче юзать не надо...
     
    #35 Fr-Ron, 1 Nov 2006
  16. }{0TT@БЬ)Ч

    }{0TT@БЬ)Ч Elder - Старейшина

    Joined:
    20 Jan 2006
    Messages:
    269
    Likes Received:
    140
    Reputations:
    31
    Fr-Ron правельно на взлаемом форуме ничего кроме профеля менять не надо НО надо разместить свою аватарку на бесплатном/платном хостинге и там уже создавать файл .htaccess.
     
    #36 }{0TT@БЬ)Ч, 1 Nov 2006
  17. Nekt

    Nekt Elder - Старейшина

    Joined:
    31 Aug 2006
    Messages:
    58
    Likes Received:
    11
    Reputations:
    0
    Попробуй измени на красную подпись аватары и 7 шрифт. Иногда прокатывает, моно еще
    как нить поиздеваться, типа хочу модером, или ...
    Таких вариантов многов, но конечно нуна зарегать новый аккуант и написать куча всего что-бы не показаться страннымю
     
    #37 Nekt, 3 Nov 2006
  18. Tflash

    Tflash New Member

    Joined:
    7 Nov 2006
    Messages:
    3
    Likes Received:
    0
    Reputations:
    0
    Возникает законный вопрос: как узнать префикс базы данных?
     
    #38 Tflash, 7 Nov 2006
  19. Fr-Ron

    Fr-Ron Elder - Старейшина

    Joined:
    10 Sep 2006
    Messages:
    184
    Likes Received:
    72
    Reputations:
    13
    Tflash

    /forum/index.php?act=Online&st=-1

    А там уж смотришь:
    .......FROM ibf_sessions.........
     
    #39 Fr-Ron, 7 Nov 2006
  20. }{0TT@БЬ)Ч

    }{0TT@БЬ)Ч Elder - Старейшина

    Joined:
    20 Jan 2006
    Messages:
    269
    Likes Received:
    140
    Reputations:
    31
    Баг заключается в недостаточной фильтрации переменной st в списке "кто онлайн"
    С уязвимости в параметре st вроде тока можно поиметь раскрытие префикса БД.
     
    #40 }{0TT@БЬ)Ч, 8 Nov 2006
    Last edited: 8 Nov 2006
(You must log in or sign up to post here.)
Page 2 of 3
Thread Status:
Not open for further replies.
Language
English (US)
    ANTICHAT ™ © 2001-2027 Antichat Kft.