This site uses cookies own and third. If you continue to browse consider to accept the use of cookies. OK More Info.

[TUTORIAL] Arbytrary downloader by SkillmaX

  • 3 Replies
  • 3229 Views

0 Members and 1 Guest are viewing this topic.

Offline SkillmaX

  • *
  • Underc0der
  • Posts: 106
  • Actividad:
    0%
  • Reputación 0
    • View Profile
    • http://lab-skillmax.blogspot.com/

[TUTORIAL] Arbytrary downloader by SkillmaX

  • on: July 12, 2010, 07:11:40 pm



¿Qué es Arbytrary Download?


Arbytrary Dowload es una vulneabilidad utilizada por muchas personas dedicadas al defacing (Por ejemplo yo), consiste en la descarga de cualquier archivo del servidor, cosa que nosotros buscaremos el archivo, que contengan los usuarios y contraseñas de la misma web.



Dorks para Arbytrarys downloads


inurl: descargas.php
inurl: bajar.php
inurl: descarga.php



¿Como sabemos si una web es vulnerable a Arbytrary Download?


Pues no es dificil, miraremos la raiz de la web, y veremos algo como



Code: You are not allowed to view links. Register or Login
www.ejemplo.com/download.php?file=

Download -> Es la carpeta del servidor
File -> Es donde se guardan todos los archivos de esa carpeta



Mirando el codigo nos podemos dar cuenta de lo peligroso que puede ser un Arbytrary download
al modo del programador, por que claro si yo miro el codigo y veo esto..



Code: You are not allowed to view links. Register or Login
www.ejemplo.com/download.php?file=download.php

El archivo se descargará y veriamos todo el codigo de el download, que podria tener otro archivo dentro
que podría ser:


Code: You are not allowed to view links. Register or Login
www.ejemplo.com/download.php?file=download.php/Otroarchivo.php

Entonces ahora nos quedaría finalizar la jugada como yo llamo, que sería encontrando los datos
finales de lo que queremos conseguir, que son los datos del administrador.


Ingresamos otra vez en la url por la que vamos que seria:



Code: You are not allowed to view links. Register or Login
www.ejemplo.com/download.php?file=download.php/Otroarchivo.php

Se nos descargará el archivo "Otroarchivo.php" después miraremos su codigo para ver que otro
archivo puede haber en el codigo, yo siempre miro el codigo con Dreamveawer ya que es un buen
editor y creador de codigos a nivel diseño y a nivel programación.



Bueno ya hemos mirado el codigo y vemos que hay un ultimo archivo el que contiene nuestro beneficio a todo el trabajo que será el archivo:


Code: You are not allowed to view links. Register or Login
www.ejemplo.com/download.php?file=download.php/Otroarchivo/password.php

Ahora nos descargariamos el archivo y lo abriremos con el Dreamveawer y tendría que salir
los datos del administrador o de los usuarios que nos llevarían a la base de datos por ejemplo:


Code: You are not allowed to view links. Register or Login
usuario=UsuarioADMIN
Contraseña=tutorial
Nombredelabasededatos=Quevedo



Un saludo.

Online ANTRAX

  • *
  • Administrator
  • Posts: 5801
  • Actividad:
    100%
  • Country: ar
  • Reputación 42
  • ANTRAX
  • Twitter: @Underc0de
    • View Profile
    • Underc0de
    • Email

Re:[TUTORIAL] Arbytrary downloader by SkillmaX

  • on: July 12, 2010, 07:14:39 pm
Excelente aporte! muchas gracias por traerlo!


Offline SkillmaX

  • *
  • Underc0der
  • Posts: 106
  • Actividad:
    0%
  • Reputación 0
    • View Profile
    • http://lab-skillmax.blogspot.com/

Re:[TUTORIAL] Arbytrary downloader by SkillmaX

  • on: July 13, 2010, 01:43:48 pm
Gracias a ti por comentar antrax, un saludo.

303010

  • *
  • Guest

Re:[TUTORIAL] Arbytrary downloader by SkillmaX

  • on: July 13, 2010, 02:47:29 pm
Muy bueno, nos hace util para mis defaceds buena info grax Skillmax