5 Antworten in diesem Thema

[Alpha63]

Hallo,

ein bekannter hat mir erlaub seinen Server bei Hetzner zu testen auf dennen er ein Ubuntu aufgesetzt hat
mit einem Apache2 (2.4.7), ssh, virtuellbox und und und installiert hat.

Als webseiten sind zur zeit wordpress seiten.

Ich darf wie geagt mal schauen ob ich "schaden" anrichte kann. Wenn ja sofort melden wie ich das gemacht habe.

Ich probiere mich grad an xss von den wordpress plugins.
Was kann man noch so machen?
Wie bekomme ich subdomains herraus?

welche exploit datenbanken gibt es?
Welche vorgehens weise habt ihr?
Wie bekomme ich viel über den server herraus?

Ich bin anfänger und möchte keinen schaden verursachen.
Es dient zu lern zwecken und wenn ich ihm dabei sogar helfen kann ist ja alles supi.
Ich weiß in euren augen mag das alles als möchte gern hacker sein, ist es evtl auch wer weis das schon. daher nicht gleich auf mich schimpfen. Der Bekannte weiß auch das ich es wie gesagt nur zu lern zwecken mache und kaum wissen darüber exestiert.

Falls das Thema euch so völlig stört könnt ihr es auch löschen,

Vielen Dank erstmal

[Cranky]

Grundsätzlich würd ich erstmal herausfinden welche plugins apache nutzt. Dann nach eventuellen file uploads suchen und versuchen shells raufzuhaun. Dann würd ich die plugins durchtesten. Danach nach eventuellen misskonfigurationen suchen (PHP Errors an?) usw

[PaulaAbdul]

Wie bekomme ich subdomains herraus?

• Please Login HERE or Register HERE to see this link!

• Please Login HERE or Register HERE to see this link!

welche exploit datenbanken gibt es?

• http://de.1337day.com/
• http://www.exploit-db.com/
• http://cxsecurity.com/exploit/

Wie bekomme ich viel über den server herraus?

• http://network-tools.com/

[Alpha63]

Grundsätzlich würd ich erstmal herausfinden welche plugins apache nutzt. Dann nach eventuellen file uploads suchen und versuchen shells raufzuhaun. Dann würd ich die plugins durchtesten. Danach nach eventuellen misskonfigurationen suchen (PHP Errors an?) usw

Klingt sehr interessant, kannst du das näher beschreiben oder verlinken?
Kennt jemand gute Kali tutorials oder metasplot?

Vielen Dank fpr für die bisherige hilfe.

[0x7e]

1. Offene Ports scannen um festzustellen welche Services laufen.
2. Webserver + Plugins rausfinden (Versionen)
3. Exploits suchen / schreiben und nutzen falls möglich.
4. Nach SQL Injections auf der Seite suchen, die vielleicht zum Admin-Login führen könnten.
5. Admin-Panel suchen und einloggen.
6. Nach Uploadmöglichkeit suchen und falls möglich eine Shell hochladen.
7. Dem Admin eine nette TXT-Nachricht verfassen, dass er doch bitte seine Lücken schließen und sein Posten als Administrator überdenken soll...

Bearbeitet von 0x7e, 20 June 2014 - 04:51 Uhr.

[Alpha63]

Danke erstmal.
Mal sehen was so geht.