comment
IRC Chat
play_arrow
Este sitio utiliza cookies propias y de terceros. Si continúa navegando consideramos que acepta el uso de cookies. OK Más Información.

XSS Persistente Blogger

  • 23 Respuestas
  • 5708 Vistas

0 Usuarios y 1 Visitante están viendo este tema.

Conectado ANTRAX

  • *
  • Administrator
  • Mensajes: 5325
  • Actividad:
    50%
  • Reputación 29
  • ANTRAX
    • Ver Perfil
    • Underc0de
    • Email
  • Skype: underc0de.org
  • Twitter: @Underc0de
« en: Enero 18, 2013, 10:27:35 pm »




EDIT: Voy a explicar un poco mas este post, la forma de hacerlo es tonto, pero quizas a alguien le sirva:

Blogger tiene "Permisos" o "Grupos de usuarios" uno es el administrador y el otro es el autor


En este caso, pr0ph3t es autor y yo administrador...

Ahora que pasa si pr0ph3t que es un autor, postea un script en un post?


LINK: You are not allowed to view links. Register or Login

Como se puede ver, el posteo un script ""><img src=x onerror=prompt(/Pr0ph3t/);>"

Ahora si yo que soy el admin, voy a la parte de templates o plantillas:


Se ejecuta su script..

A que quiero llegar con esto? a que un autor puede ejecutarle script a un administrador...

Espero que les guste!
Saludos!
ANTRAX
« Última modificación: Enero 10, 2015, 12:44:15 pm por Expermicid »


Desconectado Expermicid

  • *
  • Underc0der
  • Mensajes: 457
  • Actividad:
    0%
  • Reputación 0
  • _-Expermicid-_
    • Ver Perfil
  • Skype: expermicid.xd
« Respuesta #1 en: Enero 18, 2013, 10:49:18 pm »
:D buenisimo Antrax

Desconectado 2Fac3R

  • *
  • Underc0der
  • Mensajes: 232
  • Actividad:
    5%
  • Reputación 0
  • Why be a king, when you can be a god
    • Ver Perfil
    • Escuela de Hackers & Programación
  • Skype: rockeg_18
  • Twitter: @2Fac3R
« Respuesta #2 en: Enero 19, 2013, 01:57:01 am »
Genial, estaría bien que cuando lo fixeen publiques el vector ;)
Zalu2
Escuela de Hackers & Programación.
You are not allowed to view links. Register or Login

Desconectado Hackmundy

  • *
  • Underc0der
  • Mensajes: 88
  • Actividad:
    0%
  • Reputación 1
    • Ver Perfil
    • [H]ACKMUNDY - [L]ABS
« Respuesta #3 en: Enero 19, 2013, 02:30:01 am »
Muy bueno espero algundia ser como tu ANTRAX...

Saludos,...

Un Hacker sabe de la materia;
Un Lamer Cree Saberlo;
Y yo solo aprendo.

Conectado ANTRAX

  • *
  • Administrator
  • Mensajes: 5325
  • Actividad:
    50%
  • Reputación 29
  • ANTRAX
    • Ver Perfil
    • Underc0de
    • Email
  • Skype: underc0de.org
  • Twitter: @Underc0de
« Respuesta #4 en: Enero 19, 2013, 06:16:17 pm »
Zerosecurity lo publico!

You are not allowed to view links. Register or Login

Lo reporte con creditos a underc0de!


Desconectado Cronos

  • *
  • Underc0der
  • Mensajes: 1000
  • Actividad:
    0%
  • Reputación 1
  • Mientras mas se, me doy cuenta de lo poco que se.
    • Ver Perfil
    • Email
  • Skype: cronos.labs
« Respuesta #5 en: Enero 19, 2013, 06:31:29 pm »
Felicitaciones!

Desconectado F0M3T

  • *
  • Underc0der
  • Mensajes: 177
  • Actividad:
    0%
  • Reputación 0
  • Antes de empezar, mira el lienzo...
    • Ver Perfil
    • f0m3t blogsgsgsgsdfñsadf
« Respuesta #6 en: Enero 19, 2013, 07:28:47 pm »
FELICIDADES!
Buena esa!

Esto no se trata de ganar, se trata de no perder.

Desconectado Matabarras

  • *
  • Underc0der
  • Mensajes: 129
  • Actividad:
    0%
  • Reputación 0
  • In-Seguridad informática
    • Ver Perfil
  • Skype: Matabarrasfud
« Respuesta #7 en: Enero 19, 2013, 07:44:35 pm »
Publicar el vector¿?¿?.

Si vas a plantilla, edición html y metes una simple alerta que muestre el document.cookie [ <script>alert(document.cookie)</script>
Guardas, y le das a cerrar, y te muestra la xss.

Nada del otro mundo.. xD
No esperes nada, vive la vida, y que los demas hagan lo que ellos creen.

Conectado ANTRAX

  • *
  • Administrator
  • Mensajes: 5325
  • Actividad:
    50%
  • Reputación 29
  • ANTRAX
    • Ver Perfil
    • Underc0de
    • Email
  • Skype: underc0de.org
  • Twitter: @Underc0de
« Respuesta #8 en: Enero 19, 2013, 07:47:23 pm »
Es verdad! no habia probado eso, pero tambien funciona!


Desconectado Matabarras

  • *
  • Underc0der
  • Mensajes: 129
  • Actividad:
    0%
  • Reputación 0
  • In-Seguridad informática
    • Ver Perfil
  • Skype: Matabarrasfud
« Respuesta #9 en: Enero 19, 2013, 07:52:03 pm »
You are not allowed to view links. Register or Login
Es verdad! no habia probado eso, pero tambien funciona!

Si hay más alternativas, igual no estoy seguro de si esto llega a ser XSS, dado que permiten el html en los blogs, tu siendo administrador del blog puedes hacer lo que quieras.

La cosa, es que vale te rula la cookie almacenada de blogger, pero solo si estas en la edición de plantilla de el blog, y para llegar hay debes ser administrador del blog.

Así que no llega  a ser nada, pero bueno no deberia hacerlo, dado que solo deberia reflejar en el navegador el contenido de blogger, y no el contenido html de la plantilla también.
No esperes nada, vive la vida, y que los demas hagan lo que ellos creen.

Desconectado $Edu$

  • *
  • Underc0der
  • Mensajes: 21
  • Actividad:
    0%
  • Reputación 0
    • Ver Perfil
« Respuesta #10 en: Enero 19, 2013, 07:53:13 pm »
Matabarras, hacelo y pasame el link asi cuando entre veo tu mensaje de alerta a ver...

No vere nada porque esos cambios que haces son solo de local, la idea del xss es que puedas pasarme un link o mandarme un mensaje y al leerlo o entrar al link se ejecute tal accion.




Edit: Antrax, por lo que acabas de comentar, me haces confundir si lo que dije anteriormente es cierto o no.. y tambien me hace dudar de si realmente encontraste un xss o solo modificaste de local, como puedo hacer yo si quiero y subir una imagen jeje xD

Conectado ANTRAX

  • *
  • Administrator
  • Mensajes: 5325
  • Actividad:
    50%
  • Reputación 29
  • ANTRAX
    • Ver Perfil
    • Underc0de
    • Email
  • Skype: underc0de.org
  • Twitter: @Underc0de
« Respuesta #11 en: Enero 19, 2013, 07:56:39 pm »
En realidad se le puede sacar provecho.
Como dije antes, un redactor, que no tiene permisos de admin, puede aprovechar esta misma falla, para hacer caer al admin.
Yo no lo hice de la misma forma que matabarras, ya que de su forma solo puede hacerlo el admin. De la forma que yo lo hago, puede hacerlo un redactor y hacer caer al admin.


Desconectado Matabarras

  • *
  • Underc0der
  • Mensajes: 129
  • Actividad:
    0%
  • Reputación 0
  • In-Seguridad informática
    • Ver Perfil
  • Skype: Matabarrasfud
« Respuesta #12 en: Enero 19, 2013, 07:58:24 pm »
You are not allowed to view links. Register or Login
Matabarras, hacelo y pasame el link asi cuando entre veo tu mensaje de alerta a ver...

No vere nada porque esos cambios que haces son solo de local, la idea del xss es que puedas pasarme un link o mandarme un mensaje y al leerlo o entrar al link se ejecute tal accion.




Edit: Antrax, por lo que acabas de comentar, me haces confundir si lo que dije anteriormente es cierto o no.. y tambien me hace dudar de si realmente encontraste un xss o solo modificaste de local, como puedo hacer yo si quiero y subir una imagen jeje xD

Esque en el BLOG, no te va a mostrar la cookie del Blogger, solo te va a mostrar la cookie del blog que visitas, y si no se genera ninguna por default, te muestra la alerta vacia.

En la unica parte donde te muestra la cookie de blogger, es en la sección plantillas de blogger.

Pero siendo así eso es algo estatico, y no se refleja a todos los usuarios, por lo tanto pasa a ser un Reflected, vamos una xss pasiva. si se le puede llamar así..
No esperes nada, vive la vida, y que los demas hagan lo que ellos creen.

Conectado ANTRAX

  • *
  • Administrator
  • Mensajes: 5325
  • Actividad:
    50%
  • Reputación 29
  • ANTRAX
    • Ver Perfil
    • Underc0de
    • Email
  • Skype: underc0de.org
  • Twitter: @Underc0de
« Respuesta #13 en: Enero 19, 2013, 08:00:04 pm »
Claro, de la forma que tu lo haces, si.. Ya que no creo que un admin quiera atacarse a si mismo.
Yo encontre otra forma, u otro lugar por asi decirlo, de dejar el codigo y que solo pueda verlo el admin cuando entra a la plantilla


Desconectado $Edu$

  • *
  • Underc0der
  • Mensajes: 21
  • Actividad:
    0%
  • Reputación 0
    • Ver Perfil
« Respuesta #14 en: Enero 19, 2013, 08:01:49 pm »
Ah ahi va, ahora si :P porque sino no es XSS

Una pregunta, existen programas estilo sqlmap para analizar webs con vulnerabilidades xss no? digo porque si es que existen, que raro que nadie habia encontrado este xss en blogger, va.. tal vez si pero no decian xD


edit: Gracias Matabarras, ahora entendi, creo que te habia entendido mal en tu comentario anterior, me confundi con lo de plantilla ya que yo no he usado nunca blogger y por eso pense otra cosa como plantilla xD


Saludos!

Conectado ANTRAX

  • *
  • Administrator
  • Mensajes: 5325
  • Actividad:
    50%
  • Reputación 29
  • ANTRAX
    • Ver Perfil
    • Underc0de
    • Email
  • Skype: underc0de.org
  • Twitter: @Underc0de
« Respuesta #15 en: Enero 19, 2013, 08:03:13 pm »
Si si existen programas, creo que hay uno que se llama Xelenium y si no me equivoco viene un addon para firefox


Desconectado Turka

  • *
  • Underc0der
  • Mensajes: 101
  • Actividad:
    0%
  • Reputación 0
  • Turca por herencia.
    • Ver Perfil
  • Skype: turka.xd
« Respuesta #16 en: Enero 19, 2013, 08:08:11 pm »
You are not allowed to view links. Register or Login
Ah ahi va, ahora si :P porque sino no es XSS

Una pregunta, existen programas estilo sqlmap para analizar webs con vulnerabilidades xss no? digo porque si es que existen, que raro que nadie habia encontrado este xss en blogger, va.. tal vez si pero no decian xD


edit: Gracias Matabarras, ahora entendi, creo que te habia entendido mal en tu comentario anterior, me confundi con lo de plantilla ya que yo no he usado nunca blogger y por eso pense otra cosa como plantilla xD


Saludos!

No da usar un programa de esos contra google, en realidad contra ningun lado deja muchos logs. Bua, depende cual sea el programa.
Dejen de darle tantas vueltas a este thread XD es un xss nada mas :P no es por minimizarlo, pero de esos google tiene muchos xD

Un saludos! -> Turka.

Desconectado Sanko

  • *
  • Underc0der
  • Mensajes: 541
  • Actividad:
    0%
  • Reputación 0
  • ¿Puedes?
    • Ver Perfil
    • Underc0de
« Respuesta #17 en: Enero 22, 2013, 11:49:13 am »
You are not allowed to view links. Register or Login
You are not allowed to view links. Register or Login

No me esperaba esto de ti ANTRAX xd
Sigueme en Twitter : @Sankosk
Estos nuevos staff no tienen puta idea XD

Conectado ANTRAX

  • *
  • Administrator
  • Mensajes: 5325
  • Actividad:
    50%
  • Reputación 29
  • ANTRAX
    • Ver Perfil
    • Underc0de
    • Email
  • Skype: underc0de.org
  • Twitter: @Underc0de
« Respuesta #18 en: Enero 22, 2013, 11:53:54 am »
me respondieron de google.. el xss no deberia generarse.. de todas formas no es tan critico como crei, la cookie que saca es de blogspot y no de blogger.. aun asi me agradecieron el reporte..
« Última modificación: Enero 22, 2013, 11:56:13 am por ANTRAX »


Desconectado Abnormality

  • *
  • Underc0der
  • Mensajes: 392
  • Actividad:
    0%
  • Reputación 0
  • %SystemRoot%
    • Ver Perfil
    • Email
« Respuesta #19 en: Enero 22, 2013, 06:30:41 pm »
Muy buen descubrimiento ANTRAX, espero mas encuentros asi grandes de tu parte.

 

¿Te gustó el post? COMPARTILO!



XSS Pasiva/Persistente Somosprogramadores.com

Iniciado por Matabarras

Respuestas: 1
Vistas: 1674
Último mensaje Diciembre 10, 2012, 12:52:31 pm
por Abnormality
XSS subirimagenes.com [Persistente]

Iniciado por Cronos

Respuestas: 2
Vistas: 968
Último mensaje Enero 22, 2013, 10:43:32 pm
por Cronos
XSS Persistente Rio2016

Iniciado por Cronos

Respuestas: 5
Vistas: 2104
Último mensaje Enero 27, 2013, 09:51:24 am
por Pr0ph3t