XSS в форумах XMB. Дата добавления: 15:54 16.11.2005 Автор: XgluiR[[NO]] Категория: Другое Скачать: xmbxss.rar [0.99 Мб] XSS в форумах FastBB. Дата добавления: 15:51 16.11.2005 Автор: Ван[[NO]] Категория: Другое Скачать: fastbbxss.rar [0.56 Мб]
Задолго до wj енти и другие баги нашёл Zadohlik. Просто человек скромный и не страдает манией величия. А ентот wj взял и всё обосрал - даже упаковать не смог красиво.
Да, я взял багу которую выложил на форум wj, но она не работала-куки не подставлялись я просто капельку додумал-присылать переменные, во всем мне многие помогали, всем респект. Видео я сначала снимать и не думал, но потом подкинули идею-решил снять. Насчёт сейчашней ситуации на fastbb-сейчас там что-то меняют, тег img не работает вообще. Обещают(посмотрел на a.fastbb.ru) что скоро закончат.
Интересно, как понять эти и другие баги нашёл Задохлик? Что, все баги которые Я нашёл, Задохлик нашёл первый? или тебя понимать, что чтобы Я не находил, Задохлик уже это нашёл? Если да, то что? Это раз, два, Задохлик не показывает мне свою работу, по этому надежды что то скопировать у меня у него - нету как таковой. Теперь, люди на форуме просили взломать фастбб потому что никто его не мог взломать. Если Задохлик, а кажись первым был не Задохлик а Джаз, ну так вот, если Джаз не захотел выложить коды для фастбб, или тот который нашёл, то это уже их проблемы. Я их выложил чисто чтобы похвастатся что Я Гений. А вообще, Задохлик мало что понимает в ХSS, найти багу, с трудом может. Единственные люди на античате которые шарют в ХSS, так это White Jordan, Algol, zheleza, и zFailure которого терь нет. Задохлика эрия, это PHP including, так что не верю, что он мог в фастбб найти спаренные теги.
И на ответ, что же встётки нашёл Ван. Он нашёл, что в поле var, пассворд не шифруется, а лежит в открытом виде и дописав "+pass+nick" в место "+document.cookie" (Без кавычек) то нам придёт значение этого атрибута, то есть в нашем случаи, пассворд и ник того человека, который попадается на сниффер. Вообще-то, на сниффер может прийти практически, всё что угодно. Даю часть кода от фастбб. Любой var может прийти на сниффер.
Сейчас бесполезно перемалывать старое. Уязвимость fastbb нужна так, что важней уязвимостей на форумах в этой стране просто нет. Есть 4 форума которых быть не должно. Сейчас на fastbb фильтруются все таги, расшифровывается unicode. Несмотря на идиотичнейший движок вот так, в лоб, найти XSS более невозможно. Фильтр работает на все символы, а возможностей у форума.. Новый XSS на fastbb появится только с новыми возможностями (новыми багами). Молчание знающих товарищей в ответ на запросы подтверждает эти тезисы. Вероятно имеет смысл переходить на SQL-инъекции borda.ru. За те четыре форума я готов убить borda.ru, в принципе. Но мне нужны только эти четыре..
White Jordna, быстро твое мнение о людях меняется =D Ну ладно, думай как знаешь, я не буду писать что умеешь и не умеешь ты, т.к. каждому, кто в теме это и так уже понятно. И вообще меряться письками с кем-либо я не умею и не хочу.
Гм, с выходом видео, исправление парсинга XSS на фастББ даже не затронуло моей (White Jordna, привет) XSS трехмесячной давности, так что хсс там остались и сейчас.
У меня поменялось мнение о твоей знатности XSS, когда Я прочёл твои старые посты А так, Я знаю по твоему видео, что ты шаришь по php including да и всё... Насчёт меня. Я просмотрел ВСЕ видео античата, и когда выходит новое видео, Я его опять смотрю. И к чему Я это? Да к тому, что Я умею всё. Просто лучше всегдо, делаю атаки ХSS, так как это мне только и интересно. Баги php/including, SQL injection и т.д. они или есть, или их нет. Некоторые люди, могут их заставлять быть....как Я в XSS это прикраснно делаю. Баги XSS может и не быть, но Я заставлю чтобы она была и не важно на каком форуме или мыле! Вот такого уровня в других фазах не спорю, Я ещё не достиг. Но если бага уже найденна, или её легко найти, то провести атаку мне ничего не стоит.... Да Я и проводил и php including и SQL injection и многие другие разновидности атак, просто нашёл что к XSS у меня больше чем к другим, есть интерес. А вот такого уровня где человек заставляет XSS существовать когда её в памини нету и быть не может, вот такого уровня у тебя ещё нет. Ты можешь найти что то basic как и все, а более advanced, это уже не к тебе идти.
Ой,мляяяяяя ржууууунимагууууу Джордан ты и вправду дурик и нихера нипонимаешь даже в javascript?????? "Он нашел" ))))) ой бля...ну вот я сломал стул от безудержного смеха....бля ))))))))))))))))))))))))))))) все пошел рассказывать всем "прикинь Ван открыл что можно передавать через js переменные!" %))))))))))))))))))))))))))))))))))))))))))))))))))))))) Помнится даже в какой-то похожей теме я писал толи Вану толи еще каму)))))))))))))))))))) кароче спасибо wj развеселил своем долбоебством и низнанием основ
Ёбнулся чтоли? лооооооооооооол Процитирую сам себя .................... Где Я сказал что Ван это "открыл" ?
Процитирую White Jordan'a : "\x61 - это что за кодировка ?" Когда-то когда мы с ним общались, мне долго пришлось объяснять ему что это такое, он так и не понял (т.к. потом опять назвал это кодировкой). Так что White Jordan, давай ты мне говорить ничего не будешь. Если что-то ко мне есть сказать - стучи в асю. Я конечно понимаю, что ты сам понимаешь что ты болен на голову и это ты так шутишь, но когда со мной шутят идиоты, которые понимают что они идиоты, и из-за этого думают что тот бред, который они говорят будет не обиден собеседнику, я злюсь, т.к. меня очень даже раздражает подобное обхождение со мной даже таких умственно немощных людей как ты.
Стой это не к тебе, щас Я тебе отвечу сек ) qBiN, это вот к тебе тогда получается, Я обьяснил где он нашёл, что пассворд лежит в открытом виде и обьяснил, что он сделал и почему сработало. лоооооооооол ты и в прям ебнулся лоооооооооооол. Конечно со стула так падать головой стукнутся можно.
Так что мнение о том, что Вайт Джордан "разбирается" хотябы в XSS тоже ошибочно. Уж казалось в чем же здесь-то "разбираться"? Но Он не знает даже ни HTML ни JavaScript, так что о каком XSS из неоткуда может идти речь...
Всё, отыскал ссылку. Ну так начнём. Когда ты мне про Хакер.ру дал статью, то Я со стула падал, когда ты обьяснял на целую страницу как использовать "/x3e" .......лоооооооооооол http://forum.antichat.ru/showthread.php?p=12057#post12057 (Гость Это Я) Ещё zFailure мне обьяснял в двух словах то, что тебе понадобилось обьяснять на целую страницу лооооооол Это раз, потом, ты хоть пойми, что без кавычек и внутри атрибутов тега, эти символы работать не будут, а не потому не работают по твоему обьяснению, что браузер не понял лооооол уже даже не помню какую хрень ты мне ответил когда Я тебя спросил почему они на античате не работают. лооооооооол Да и сам код ты от алгола скопировал....потом Я доооолго ржал хотя хе...не твоя эрия бывает. +)
