Autor
El bug es un error de input validation (un error en la entrada y salida de datos) el cual nos permite descargarnos la base de datos en access con la contraseña del administrador en los foros: ocean 12 asp.
En otras palabras este bug te deja descargarte la base de datos de el guestbook y asi poder tomar control de el guestbook... ojo solo el guestbook... bueno para poder leer la base de datos tendras q tener Microsoft Acces
Buscando Objetivos.
lo primero es buscar un guestbook vulnerable...asi que en google escribimos:
"Maintained with the Ocean12 ASP Guestbook Manager"
comillas incluidas y nos aparecen miles de guestbooks
Atacando
el atake consiste en descargarnos la base de datos, el error es k no nos pedira validacion para hacerlo para ello hacemos:
www.victima.com/ruta-al-guestbook/admin/o12guest.mdb
Nos aparecera un cuadro de dialogo para descargarnos la base datos, la descargamos y la abrimos con access.
Vamos a la sección settings de la base de datos y miramos la contraseña del administrador que se encuentra alli.
Ya teniendo la contraseña accedemos a:
www.victima.com/ruta-al-guestbook/admin/
Nos logueamos.
Y ya como ven esta tecnica es muy sencilla
En línea
