[PHP] ava changer ? wie ?

[theHacker]

Beide Fragen werden 1:1 im anderen Thread diskutiert und beantwortet.
Ich sehs nicht ein, dir das hier alles nochmal abzutippen

 

[joschilein]

@tH: Ich habe diese Sicherheitslücke gestern mal auf meinem lokalen Server probiert, dabei wäre ich wohl aber an einer ganz simplen Sache gescheitert. Wenn man sich die als .gif gespeicherte .php Datei im Browser anschauen will, dann wird nur irgendwas von Fehler in der Grafik angezeigt. Man kann das also schlecht speichern bzw. nur über Umweg Downloadmanager. Ist das dann wirklich der schnellste weg? Und wie erfährt man die Dateinamen des restlichen Speicherplatzes? In der PHP kann es natürlich auch mal Verweise auf andere Dateien geben und man kann auch raten, aber das ist doch letztlich recht uneffektiv. Wenn man also den Server so einstellt, dass der keine Ordnerlisten erstellt, kommt man doch auch nicht sehr weit?

 

[Brom]

edited

 

[theHacker]

Wenn man sich die als .gif gespeicherte .php Datei im Browser anschauen will, dann wird nur irgendwas von Fehler in der Grafik angezeigt.

Schon mal den Quelltext einer Grafik angezeigt ?
Außerdem kann du mit entsprechenden Konsolenbefehlen die Ausgabe direkt in eine Datei mit passendem Dateinamen leiten lassen

Und wie erfährt man die Dateinamen des restlichen Speicherplatzes? [...]Wenn man also den Server so einstellt, dass der keine Ordnerlisten erstellt, kommt man doch auch nicht sehr weit?

Jedes Script, was öffentlich ist, kenn ich. z.B. die nette login.php auf powergrafik's Server. Das ein Login funktioniert, muss irgendwo eine Datenbankverbindung (alternativ: eine Textdatei mit Daten sein) sein. Diese Datenbankverbindung wird irgendwo im Script hergestellt (die Datei geöffnet). Ich muss mich maximal durch die include-Zeilen hangeln, um sie zu finden. Hab ich sie, krieg ich gratis alle Passwörter für die Datenbank (die Daten direkt) geliefert.
Bei Loseseiten findet man da sicherlich noch EF-Daten, vielleicht hab ich Glück und es sind auch noch FTP-Daten dabei.

Bei diesen beiden Scripts war der Fehler noch nicht maximal schlimm.
Mit entsprechender PHP-Konfiguration und einem solchem Script

<a href="changeava.php?url=https://www.example.com/ava/ava1.gif">Change me</a>

copy($_GET['ava'],"./aktuell.gif");

könnte ich sogar noch beliebigen Code ausführen und damit auf dem Server machen, was ich will.

 

[Brom]

edited

 

[theHacker]

das läst du aber bitte und fummel nihct auf meinem server rum

Sei froh, dass ich dir sag, was man mit so einem tollen Ava-Changer alles Tolles auf deinem System anrichten kann Du kannst niemanden hindern, deinen Server zu benutzen (außer du tippst den shutdown-Befehl ein). Wenn die Tür offen steht, warum sollte nicht jemand reingehen ?

edit:// auserdem wenn ich den avachange nur aus privtaen gründen benutze kann ich den doch auch per htacess schützen oder ??

Schon mal einen Avachanger nicht privat benutzt ?
Du kannst ihn freilich mit .htaccess schützen, nur bleiben die Löcher im Script trotzdem drinnen.

 

[ZeroCCC]

@tH: Ich habe diese Sicherheitslücke gestern mal auf meinem lokalen Server probiert, dabei wäre ich wohl aber an einer ganz simplen Sache gescheitert. Wenn man sich die als .gif gespeicherte .php Datei im Browser anschauen will, dann wird nur irgendwas von Fehler in der Grafik angezeigt. Man kann das also schlecht speichern bzw. nur über Umweg Downloadmanager. Ist das dann wirklich der schnellste weg? Und wie erfährt man die Dateinamen des restlichen Speicherplatzes? In der PHP kann es natürlich auch mal Verweise auf andere Dateien geben und man kann auch raten, aber das ist doch letztlich recht uneffektiv. Wenn man also den Server so einstellt, dass der keine Ordnerlisten erstellt, kommt man doch auch nicht sehr weit?

wenn du schon ein post request verfälchst dann sollte es auch kein problem sein an den inhalt der .gif zu kommen. und zu dem thema andere datein... kommt immer drauf an was du suchst. also wenn ich böses vorhätte würde ich versuchen mir erstmal die zugangsdaten von der datenbank zu schnappen... mit diesen würde ich dann versuchen mich per ftp zu verbinden und wenn ich glück hab wolla...
ansonsten könnte man jetzt mit diesen daten versuchen sich direkt mit der db zuverbinden... wenn dass nicht geht wäre zb der nächste schritt phpmyadmin zu suchen.
ansonsten kann man auch mal blind nach ner htaccess angeln dort könnte vielleicht nen hinweis auf ein geschütztes verzeichniss sein... also angelt man sich dazu am besten noch die htpasswd und crackt das passwort.
es gibt noch vieles andere nach dem man suchen könnte... und manche sachen ergeben sich einfach aus der art der seite und dem was man will. ok was man will sollte klar sein, den besitzer auf die sicherheitslücke hinweisen

 

[ZeroCCC]

Bei diesen beiden Scripts war der Fehler noch nicht maximal schlimm.
Mit entsprechender PHP-Konfiguration und einem solchem Script

<a href="changeava.php?url=https://www.example.com/ava/ava1.gif">Change me</a>

copy($_GET['ava'],"./aktuell.gif");

könnte ich sogar noch beliebigen Code ausführen und damit auf dem Server machen, was ich will.

so leicht ist das aber auch wieder nicht... du müsstest dann erstmal ne möglichkeit finden die datei auszuführen. ne gif wird standardmässig nicht geparst. zwar ist die wahrscheinlichkeit hoch das irgendwo nen php script auf dem space zu finden ist was dir das ermöglichen wird... aber muss nicht.

btw: das wäre bei meinem script möglich

 

[Brom]

edited

 

[theHacker]

so leicht ist das aber auch wieder nicht... du müsstest dann erstmal ne möglichkeit finden die datei auszuführen. ne gif wird standardmässig nicht geparst.

Stimmt, hatte ich nicht bedacht.

mach es bitte trotzdem nicht

Junge, du musst hier nicht bitten und betteln, dass es keiner von uns macht.
Dein Server ist da draußen im Internet und da gibt es nicht nur freundliche klamm-Forum-Benutzer, die dir die Lücke aufzeigen und sagen, was passieren kann. Da gibts auch welche, die suchen nur nach sowas, um die ganzen tollen Sachen auch wirklich zu machen.

Lies den anderen Thread, da steht drin, wie man das Problem löst. Probier erstmal auf deinem privaten Server daheim, wo der Port 80 nach außen gesichert is. Versteh, was du da überhaupt in deinen PHP-Dateien drinstehen hast. Und erst dann setz es online.

 

[joschilein]

Ok, dass es so einfach ist und man nur den Quelltext anschauen muss, hätte ich jetzt nicht vermutet

Ich hatte jetzt nur per GET manipuliert. Aber wo die Frage nach der Manipulation von POST Werten kommt.. Gabs da nicht mal eine Extension für Firefox, mit der beim Absenden eines Formulars noch die Möglichkeit bestand die abgesendeten Werte zu verändern? Oder gibts da auch wieder einfachere Wege?

@tH: Klar, wenn du ein Script angreifen willst, dessen Code öffentlich an anderer Stelle einsehbar ist (Freeware Download, Forum ), dann hat man kein Problem mit der Suche nach den richtigen Dateien. Ich meinte jetzt aber auch eher Angriffsstellen, bei denen das System dahinter für Außenstehende unbekannt ist. Wenn ich mir also selbst ein Script baue und den Code nicht veröffentliche, muss ich mir doch höchstens noch Sorgen machen, wenn ich solche allanwesenden Dateinamen wie config.php verwende?

Außerdem kann du mit entsprechenden Konsolenbefehlen die Ausgabe direkt in eine Datei mit passendem Dateinamen leiten lassen

Klingt aber stark nach Linux?!

 

[ZeroCCC]

Gabs da nicht mal eine Extension für Firefox, mit der beim Absenden eines Formulars noch die Möglichkeit bestand die abgesendeten Werte zu verändern?[...]

@tH: Klar, wenn du ein Script angreifen willst, dessen Code öffentlich an anderer Stelle einsehbar ist (Freeware Download, Forum ), dann hat man kein Problem mit der Suche nach den richtigen Dateien. Ich meinte jetzt aber auch eher Angriffsstellen, bei denen das System dahinter für Außenstehende unbekannt ist. Wenn ich mir also selbst ein Script baue und den Code nicht veröffentliche, muss ich mir doch höchstens noch Sorgen machen, wenn ich solche allanwesenden Dateinamen wie config.php verwende?

mit https://tamperdata.mozdev.org/ kannste im firefox sämtliche requestes manipulieren...

ne webanwendung ist doch nen offenes buch... schon allein die url verrät dir ne meng. dann gibts noch die reuqest header, damit kannst du sehen auf was die anwendung bassiert, und auch der generierte quelltext kann dir hinweise auf die funktion der anwendung geben... um ne unbekannte anwendung über so ne sicherheitslücke zu erforschen wirst du dir einfach die index.php schnappen und schauen was da interessantes drin steht und von dort aus gehts weiter....

 

[theHacker]

Ich hatte jetzt nur per GET manipuliert. Aber wo die Frage nach der Manipulation von POST Werten kommt.. Gabs da nicht mal eine Extension für Firefox, mit der beim Absenden eines Formulars noch die Möglichkeit bestand die abgesendeten Werte zu verändern? Oder gibts da auch wieder einfachere Wege?

Ich bin mit der WebDeveloper vom Firefox ran: Im HTML-Code den Dateinamen geändert und dann das Formular abgeschickt. 'n Klacks

Klingt aber stark nach Linux?!

Ne, telnet müsste auf beiden Betriebssystemen funktionieren.
Bei Linux hastde noch wget. Ob man damit aber POST-Requests senden kann, weiß ich ned. Ich bin doch Windows-Benutzer

 

[tleilax]

Ich bin mit der WebDeveloper vom Firefox ran: [...]

Geht übrigens etwas komfortabler mit Firebug. Der läuft bei mir grad der WebDeveloper Toolbar den Rang ab.

Sorry für Offtopic.