Menú

Mostrar Mensajes

Esta sección te permite ver todos los mensajes escritos por este usuario. Ten en cuenta que sólo puedes ver los mensajes escritos en zonas a las que tienes acceso en este momento.

Mostrar Mensajes Menú

Mensajes - Muppet

#181
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
jeje que cosa! Es impresionante cómo, en los proyectos más grandes, surgen errores tan simples.

Felicidades por el descubrimiento!

Saludos!
WhiZ

WhiZ el fallo sigue sin ser fixeado lo acabo de comprobar nuevamente!
#182
Bueno hoy voy a Mostrarles un Fallo de Seguridad en You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login, donde se puede mantener una session creada al momento de registrarse para loguearse al servicio con una cuenta inexistente sin validar el usuario via email.

Primero vamos a:

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

registramos un usuario con información sin importancia, en mi caso

Nombre: HD_Breaker
   Email: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
   Clave: 1234



Damos Click en Registrar y si somos detallistas podemos ver en la esquina superior izquierda un boton que nos dice Abort session (???)



Sin Salir de la pagina clickeamos 1 vez hacia atrás, y ganamos acceso por medio de la sesión que se crea al registrarnos



Como Podemos ver en esta imagen sin estar Logeados, podemos acceder al servicio y subir archivos



podemos ver como se pueden generar los link de distribución.



Esto Mismo se Puede Generar con un Administrador de Sesiones, robando la sesión y luego utilizar la misma para Loguearse Temporalmente.

El Fallo se trata de un mal control del tiempo y directorio de la Session creada al Registrarnos.

Url del sitio: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Autor: HD_Breaker
Reportado: SI
#183
Bugs y Exploits / Re:XSSF
Enero 24, 2013, 01:10:18 AM
xssf esta muy bueno! yo lo conoci mucho antes q beef, es algo inestable, pero lo q realmente lo diferencia de beef es q su entorno es por consola
#184
Dudas y pedidos generales / Re:User Root
Enero 24, 2013, 01:07:44 AM
instala un rootkit, accede a la base de datos, create un directorio propio con tu propio servidor web, mass defacement, etc
#185
Dudas y pedidos generales / Re:Duda con exploits
Enero 24, 2013, 01:06:01 AM
Busca algun BufferOverflow mas q por puerto, por software y version, luego lo compilas dependiendo el lenguaje y lo mandas!
#186
Hacking ShowOff / Re:XSS FoxSportla
Enero 23, 2013, 10:54:36 PM
$Edu$ Tardo en responderte, el simple hecho de poder ejecutar un alert en JavaScript indica que la web es vulnerable a la ejecucion de un simple codigo JavaScript lo que indica una mala programacion de la web por parte del autor. Si una web sucumbe ante un simple alert, imaginate lo que se puede lograr con un poco de Ofucacion e imaginacion!
#187
Otro fallo de seguridad en otro subdominio del MIT que nos permite ejecutar codigo Arbitrario y Crear Archivos php.





Remote Execution:

Url del sitio: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Vector: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Autor: HD_Breaker
Reportado: SI

#188
Le Sigo dando al MIT:



AFD o FSD (Como lo Conoscan):

Url del sitio: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Vector: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Autor: HD_Breaker
Reportado: SI
#189
Uno mas del Foro en ZeroSecurity, vamos que de a poco vamos siendo mucho mas Conocidos en esta Gran Comunidad!

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
#190
Hacking ShowOff / XSS www.ciudaddemendoza.gov.ar
Enero 23, 2013, 04:04:12 AM


XSS

Url del sitio: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Vector: "</i><h1>HD_Breaker for Underc0de</h1><!--
Autor: HD_Breaker
Reportado: SI
#191
Hacking ShowOff / LFI ENERGAS.GOV.AR
Enero 23, 2013, 03:24:20 AM


LFI

Url del sitio: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Vector: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Autor: HD_Breaker
Reportado: SI

#192
Hacking ShowOff / XSS EDEMSA
Enero 23, 2013, 03:12:47 AM


XSS:

Url del sitio: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Vector: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Autor: HD_Breaker
Reportado: NO

La Atencion al cliente es Telefonica, y no tengo ganas de llamar para que me tengan a la espera 3 hs, si Underc0de lo desea puede reportarlo.
#193
Hacking ShowOff / XSS Peregrine SemiConductors
Enero 23, 2013, 12:03:19 AM


XSS

Url del sitio: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Vector: </h6><img src=. onerror=alert(/HD_BreaKer/)><!--
Autor: HD_Breaker
Reportado: SI
#194
En Memoria a Aaron Schwartz RIP...





XSS:

Url del sitio: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Vector: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Autor: HD_Breaker
Reportado: SI
#195
Pentesting / Re:Cross site port attack - XSPA
Diciembre 31, 2012, 01:03:26 AM
Muy bueno Bro!
#196
Dudas y pedidos generales / Re:ayuda con error
Diciembre 19, 2012, 01:19:23 AM
Fijate de decodificar el hash y si podes acceder al panel de administracion con esos datos
#197
Wargames y retos / Re:Reto XSS [muy fácil]
Diciembre 16, 2012, 09:07:10 PM
Llegando Tarde...
#198
Bugs y Exploits / Re:[Paper] IFXSS
Diciembre 11, 2012, 05:07:13 AM
Felicitaciones buen paper!
#199
el error te dice q utilices service. Prueba esto:

sudo service apache2 stop
sudo service apache2 start
sudo service mysql stop
sudo service mysql start

y vete como root y dale permisos 755 o 777 a todos los archivos contenidos en el htdocs o /var/www
#200
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Debes obtener la pass de ftp para lograr cambiar los permisos en los themes y poder subir shell. Te lo digo por experiencia.

O eventualmente hacer un bypass desde el admin y alojar la shell en algún directorio de imágenes donde casi siempre tiene permisos de escritura y ejecución.

Tambien he intentado eso, pero generalmente los upload de wordpress son demaciado seguros para subir un php con un bypass... lo q si si la app web tiene un LFI se puede subir una imagen jpg con php dentro. Yo probe muchas cosas y lo mejor fue encontrar un fallo en ftp