5 replies to this topic

[Ch!ller]

http://www.simon-gosejohann.de/index.php?a=123

[<Kevin>]

Bringt aber glaube ich nichts.

[Illuministrator]

@<kevin>: Glauben und wissen sind aber zweierlei Dinge, Glauben kann man in der Kirche. Wir hingegen sollten im Bereich Web-seccurity Wissen und nicht glauben. Wenn man etwas glaubt oder besser formuliert etwas vermutet, muss man darangehen, und dies entweder zu bestätigen oder sich selbst einzugestehen, das man sich geirrt hat.
Zusätzlich noch der Zusatz von meiner Seite aus, das eine Bewertung ob ein hack was bringt oder nicht bzw eine Lücke jemanden etwas bringt oder nicht, kann niemand allgemeingültig beurteilen. Denn dies ist immer abhängig von den Zielen, die jemand verfolgt. Ich greife mal diese page als beispiel auf: Date sind vielleicht nicht viele drin, ausser ggf. persönliche daten eines promis oder zugriff zu dessen email-acc. also um massen an geld durch dumped accs kann man da nicht machen, deshalb wertlos? nein. könnte ja sein, das jemand interesse an der mail hätte. diesen jemand zu finden, könnte je nach konstellation zwar langwierig bis unmöglich sein, aber für diesen potenziellen käufer wär das interessant. Jetzt nehmen wir aber mal an, das weder daten drin wären, noch acc auf persönliche daten von unserem promi hier .... nen ewissen traffic wird die page haben. man könnte n iframe oder javascript einbinden. wodurch das wieder für eine breite masse interessant wird .... durch relativ hohe besucherzahlen ergeben sich etliche möglichkeiten. und somit ist ein solcher Bug/Eror/potezielle Vuln alles andere als wertlos, bzw trifft die Aussage "Bringt glaub ich nichts" in keinster weise zu. In anbetracht dessen, das du ir das ganze nicht mal angesehen zu haben scheinst, bzw nicht analisiert hast, find ich eine solche aussage dem Threadstarter gegenüber nicht fair, da sein Fundstück dadurch unnötig herabgesetzt wird.

@threadstarter: nett, hast da ne sql-injection gefunden. hab die von hand mal flott verifiziert. kann man injecten. jedoch blockt die page schnell, weshalb man zum einen wenige threads nehmen sollte, zum anderen ggf. zwischen den requests n kurzes delay einbauen, sofern man die möglichkeit hat. Leerzeichen sollten gegen ein + ersetzt werden und da n bestätigte WAF dazwischen klemmt, sind so spielereien wie random-value für Variable "a" sicherlich ebenfalls eine gute Variante um die injection erfolgreich nutze zu können.

Ich konnte vorm IP-Ban mit sqlmap per blind folgendes auslesen:

DB-User: k10519.0101@localhostz

jedoch sollte die page per union injectable sein (46 columns), meine ip wurde jedoch geblockt, bevor ich das sauber ausarbeiten konnte. werde später nochmal danach schauen. und sofern ich ne union finde diese posten, sofern nicht jemand anders schneller ist.

ist in jedem Fall ne interessante vuln. ob ich die persönlich brauchen kann, stelle ich mal in frage, aber das sollte keine Rolle spielen, gibt hier garantiert jemanden, der für sowas interesse hat

[Cyber-Agent]

Den IP-Ban kann man ganz gut verhindern.

--delay=5

[Illuministrator]

wenn dazu schreiben würdest, auf was das --delay=5 beziehst, damit nicht nur ich und ein paar andere verstehen, das du sqlmap meinst.
auserdem hatte ich genau das bereits geschrieben. wobei 5 sekunden delay sehr lang ist ... so n dump sollte schon vor Weihnachten des Jahres 2029 fertig werden.
4 threads mit nem delay von 2 sekunden bei nutzung von keep-alive (sofern möglich) sollte mehr als ausreichend sein um das zu umgehen. mus man aber probieren. gut möglich das mehr threads gehe bzw elay auf ne sekunde reduziert werden kann ... man kennt die settings der WAF nicht, da hilft nur probieren in kombination mit n bissl erfahrung, wobei erfahrung nur hilft n passendes delay+anzahl threads schneller zu finden, mehr nicht.

[Cyber-Agent]

Mal etwas zu der Union-Injection:

http://www.simon-gosejohann.de/index.php?a=-260 union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35,36,37,38,39,40,41,42,43,44,45,46+--+-

Soweit ich das jetzt feststellen konnte, kommt man damit aber nicht weit.

Edited by Cyber-Agent, 09 October 2014 - 11:16 Uhr.