+- Parsi Coders (http://parsicoders.com)
+-- انجمن: Security and influence (http://parsicoders.com/forumdisplay.php?fid=59)
+--- انجمن: Influence (http://parsicoders.com/forumdisplay.php?fid=61)
+--- موضوع: سوال زاجع به باگ (/showthread.php?tid=1918)
سوال زاجع به باگ - امیر - 03-16-2012
درود:
بچه ها در سایت معروف http://delphi.about.com/ به این موضوع برخوردم فکر کنم باگ rfi البته اسکن نکردم خودم تشخیص دادم
نگاه کنید این ادرس
http://delphi.about.com/gi/dynamic/offsite.htm?site=http://www.parsicoders.com
کافی است به جای سایت خودمون ادرس شل رو بهش بدیم تمومه
البته نمیدونم اجرایی یا نه نظر بقیه دوستان چی به خصوص nimaarek و امین جان میشه کاری کرد یا نه ؟
RE: هک - nimaarek - 03-16-2012
سلام
امیر جان اینطور که معلومه صفحه ی offsite.htm با html نوشته شده این نوع باگ ها که درخواست کردی از توابع نا امن php هستند البته شاید با htaccess پسوند هارو دستکاری کرده ولی در هر صورت یه نگاهی کردم rfi که نداره برای اینکه سورس رو میاره و php اجرا نمیشه و lfi هم نداره من تست کردم
اما میشه باهاش یه کاری کرد یا این خود سایت رو d.o.s زد اینطوری :
http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=http://delphi.about.com/gi/dynamic/offsite.htm?site=
یعنی سایت رو داخل خودش فراخوانی کرد
RE: سوال زاجع به باگ - امیر - 03-16-2012
درود:
nimaarek جان خوب ما سایت رو در خودش فراخانی میکنیم فایده ای داره من ادرس سایت رو وارد کردم اما فایده ای نداشت میشه بیشتر توضیح بدی
ممنون
RE: سوال زاجع به باگ - nimaarek - 03-16-2012
منظورم این نبود که با یه بار فراخانی این آدرس سایت دان شه که :دی ببین میتونی با همین url چند بار سایت رو بارگزاری کنی
حالا فکر کن یه iframe بزاری پشت یه سایت پر بازدید هر کسی میاد چند بار این سایت بارگزاری بشه ۱۰۰٪ به سرور فشار میاد
RE: سوال زاجع به باگ - امیر - 03-16-2012
درود:
کاری دیگی نمیشه انجام سایت که قابلیت لود کردن هر صفحه رو داره اگه صفحه دارای شل باشه و لینک بشه به سایت جواب میده یا نه یا سایت مذکور ویروسی باشه اخه این کار ها معمولی هستن .
درود:
دوست عزیز من اگه اکسپلوییتی بنویسم که یک صفحه که دارای اپلود رو در سایت بزارم درسته
مگه سایت که لینک بشه در سایت about-delphi بالا نمیاید ؟
RE: سوال زاجع به باگ - nimaarek - 03-17-2012
(03-16-2012، 07:58 PM)امیر نوشته: درود:ببین قرار نیست پیج هایی که لود میشه روی سرور اجرا بشه که
کاری دیگی نمیشه انجام سایت که قابلیت لود کردن هر صفحه رو داره اگه صفحه دارای شل باشه و لینک بشه به سایت جواب میده یا نه یا سایت مذکور ویروسی باشه اخه این کار ها معمولی هستن .
شل رو هم به صورت سورس باید بهش داد و یه ؟ یا ٪00 گذاشت که بهش فهموند این کد رو باید اجرا کنه
ولی این صفحه ی about از تابع آسیب پذیر استفاده نکرده یا شاید هم اصلا php نباشه که بخواد rfi داشته باشه
نقل قول:درود:سوال تو بار دیگه جواب میدم تو اگه یه اپلودر بنویسی بعد فراخوانی کنیش توی این صفحه ی about و فایل آپلود کنی هیچ تاثیری روی سرور این تارگتت نمیزاره
دوست عزیز من اگه اکسپلوییتی بنویسم که یک صفحه که دارای اپلود رو در سایت بزارم درسته
مگه سایت که لینک بشه در سایت about-delphi بالا نمیاید ؟
یه مثال تو از فیل---تر شکن های تحت وب استفاده کردی ؟
این یه جورایی مثل همونه
بازم سوال داشتی بپرس
RE: سوال زاجع به باگ - امیر - 03-17-2012
درود:
ممنون دوست عزیز متوجه شدم
دستت در نکنه
RE: سوال زاجع به باگ - Amin_Mansouri - 03-17-2012
همه چیز شل اپلود کردن نیست اگر سرور خوب کانفیگ شده باشه به سختی میشه کاریش کرد
در ضمن اگر این سایت یوزر و پسوورد ادمینش زیر دستم بودم یوزر و پسوورد رو برای ادمین سایت میفرستادم میگفتم عوضش کن
چون توی سایت پر از مطالب برنامه نویسی دلفی هست