test du site:whita.net

by **Fireburn** » Sat Jan 17, 2009 1:57 pm

bon aller, je me lance...

Non non ceci n'est pas un site c'est plutôt un espace que je me suis réservé sur la toile pour certaine fonctionnalités.

J'aimerais bien que vous le testiez mais d'une manière particulière:

J'aimerais bien sur connaitre les failles existant (et promis il y en a) mais aussi (et si possible) une explication sur comment vous êtes arriver a cette faille (ce qui vous as amener a la découvrir).

Merci d'avance

Fire

ps: le site: www.whita.net

la preuve: http://www.whita.net/hackbbs.txt

by **LeXxX** » Sat Jan 17, 2009 2:15 pm

Salut, ton site est en construction alors on ne peut y avoir accès donc on ne peut pas faire un diagnostique sur les failles Web après on peut toujours chercher du coté serveur avec l'ip de ton site mais sa ne réglera toujours pas ton problème

Tchouss

by **Fireburn** » Sat Jan 17, 2009 2:18 pm

ha tu essayer de regarder les source de la pages en construction? j'ai dit pourtant que ce n'était pas un site du genre une succession de pages, mais un site avec une succession de service se trouvant a différent endroit. le but n'est pas que tous le monde y est accès seulement moi et les gens qui connaisse. promis derrière la pages de construction y a d'autre chose ( clic sur une image :p)

by **LeXxX** » Sat Jan 17, 2009 2:20 pm

oui excuse moi, je n'ai pas fais attention c'est bon je regarde , surtout si tu observe des truc louche ne crains rien c'est juste moi qui fait des essai

by **LeXxX** » Sat Jan 17, 2009 2:46 pm

J'ai bien peur que ton site est quelque faille assez grave, genre celle la http://www.whita.net/net2ftp/index.php?state=login_small&state2=admin&go_to_state=admin&go_to_state2=&errormessage=%3Cscript%3Ejavascript:document.write(%27Test%20hackbbs%27);%3C/script%3E

Et une faille sql aussi mais pour l'instant je n'ai pas encore trouver la bonne . C'est ton client web/ftp qui merde

by **Fireburn** » Sat Jan 17, 2009 2:52 pm

[code:1:e40c6d6011]http://www.whita.net/net2ftp/index.php?state=login_small&state2=admin&go_to_state=admin&go_to_state2=&errormessage=%3Cscript%3Ejavascript:document.write(%27Test%20hackbbs%27);%3C/script%3E [/code:1:e40c6d6011]

Donc avec cette faille tu peux écrire de jolie message effectivement c'est sympa mais si tu essaie d'aller plus loin tu accède des chose? ou tu peut t'en servir pour autre chose?

sinon la faille sql je veux bien, Je me doute que net2ftpn'est pas parfait mais tellement pratique des fois.... :(

by **LeXxX** » Sat Jan 17, 2009 2:58 pm

Pour la faille xss oui tu peux aller beaucoup plus loin, je peux par exemple avec un script exécuter un code que j'aurais héberger sur un autre site et ce code pour deface , effacer, recuperer n'importe quelle fichier de ton site. Le mieu c'est soit tu met a jour ta version net2ftp aussi vite que possible en priant que personne viendra s'attaquer a ton "ptit jardin " soit tu change de client.

La faille Sql etait une betise mais disant que l'on a acces au repertoire rajoute includes/ apres net2ftp/ tu verras, alors il suffira de connaitre les autres repertoires pour acceder a ce que l'on veut!

by **Fireburn** » Sat Jan 17, 2009 3:03 pm

oki merci, déjà je vais mettre a jours ma version de net2ftp (elle date pas trop pourtant lol)

deja merci pour ca, apres en attente d'autre bug ( je vous direz que je mettrais a jours net2ftp afin de vous prévenir de l'indisponibilité)

by **LeXxX** » Sat Jan 17, 2009 3:04 pm

Ok de rien mais j'aurais bien aimer t'aider plus mais vu que je ne suis pas super qualifier... enfin voila de rien. Sa fait toujours plaisir de faire plaisir

Enjoy

by **TorTukiTu** » Sat Jan 17, 2009 4:03 pm

[quote:85e7262633]Pour la faille xss oui tu peux aller beaucoup plus loin, je peux par exemple avec un script exécuter un code que j'aurais héberger sur un autre site et ce code pour deface , effacer, recuperer n'importe quelle fichier de ton site. [/quote:85e7262633]

Pas tout a fait Lexx, tu injectes du javascript pas du php...

Ici ton code s'éxécute dans le navigateur du client. Par conséquent, en aucun cas, tu ne peux "défacer" un site directement via une xss. En tous cas pas à ma conaîssance.

Au pire, tu redirige le navigateur du client et tu récupère les cookies de session ou tu lui fait éxécuter une série de commandes.

Ce que tu dis correspond d'avantage à la faille include.

Je n'ai pas testé, mais ce que tu a trouvé ne semble pas vraiment être une faille.
En effet, puisque c'est toi qui génère ton propre message d'erreur, tu es le seul qui puisses executer le script que tu a injecté. Ca me paraît plutôt limité...

Enfin si j'ai dit des conneries, n'hésitez pas à me corriger.

La tortue.

by **Fireburn** » Sat Jan 17, 2009 4:14 pm

Cela n'empêche pas que si une mise a jours existe existe pour net2 php je la mettrait en ligne. Pour ce qui est de l'attaque par injection de java-script, effectivement le principe même dei java-script et de s'exécuter localement sur la machine de la personne donc normalement pas trop de risque sauf si moi je met un une adresse avec un java-script bien précis pour récupéré des infos de mes visiteurs (tien en voila une idée lol)

by **TorTukiTu** » Sat Jan 17, 2009 4:16 pm

+1 fireburn, mettre à jour ces scripts est essentiel. Sauf cas très particuliers, une xss ne représente pas une menace directe pour le site vulnérable.

by **Fireburn** » Mon Jan 19, 2009 1:04 pm

Bon net2ftp es ben a jours (pas de nouveau changement sur leur site.

Sinon a pare le fait que l'ont peut visiter les dossiers de net2ftp et écrire de jolie message dessus rien d'autre?

D'un coté tant mieux de l'autre je me demande si tous a bien été visité...

Enfin je vous fait confiance mais c'est vraie que me connaissant je pensais avoir laisser plus de troue que ça.

Au fait j'ai pas précisé (effectivement j'ai pas tout dit) y a aussi une partie admin un peut caché sur le site...

En tout cas merci a ceux qui ont bien voulue tester

fire

by **LeXxX** » Mon Jan 19, 2009 4:47 pm

Bon ben a la recherche de la page admin XD!

by **Ness** » Wed Jan 21, 2009 1:59 pm

[list:b5b4f20f80][list:b5b4f20f80][b:b5b4f20f80]1- [/b:b5b4f20f80][url]http://www.whita.net/net2ftp/includes/[/url]
Ajoute un index.php contenant:
[code:1:b5b4f20f80]
<?php
header("location: http://www.whita.net");
?>
[/code:1:b5b4f20f80]
[quote:b5b4f20f80]Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.4 with Suhosin-Patch Server at www.whita.net Port 80[/quote:b5b4f20f80]
Config ton vhost:
[quote:b5b4f20f80]ServerSignature Off[/quote:b5b4f20f80][/list:u:b5b4f20f80]

[list:b5b4f20f80][b:b5b4f20f80]2-[/b:b5b4f20f80] Pour les script en soit il faudrait download les sources sur le net afin de pouvoir en faire un audit.

En regle general, je déconseille d'utiliser des applications toutes faites, car d'une part tu n'en as pas le controle car c'est pas toi qui les as dev.
D'autre part, si une faille est découverte et qu'un exploit sort ton site saute[/list:u:b5b4f20f80]

[list:b5b4f20f80][b:b5b4f20f80]3- [/b:b5b4f20f80]Pour le XSS c'est pas dramatique mais ca te coute rien un ptit:
[code:1:b5b4f20f80]htmlspecialchars($var);[/code:1:b5b4f20f80]
Attention a bien vérif au niveau du double encodage Unicode.[/list:u:b5b4f20f80]

Tcho.[/list:u:b5b4f20f80]

test du site:whita.net

test du site:whita.net

Who is online