elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Introducción a la Factorización De Semiprimos (RSA)


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Hacking
| | |-+  Bugs y Exploits
| | | |-+  Nivel Web (Moderadores: sirdarckcat, WHK)
| | | | |-+  SMF 1.1.6 Filter Post Bypass
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] 2 Ir Abajo Respuesta Imprimir
Autor Tema: SMF 1.1.6 Filter Post Bypass  (Leído 7,162 veces)
WHK
Moderador Global
***
Desconectado Desconectado

Mensajes: 6.589


Sin conocimiento no hay espíritu


Ver Perfil WWW
SMF 1.1.6 Filter Post Bypass
« en: 4 Octubre 2008, 10:15 am »

Bueno en realidad esto lo pude descubrir o redescubrir pero hasta ahora nadie lo ha posteado en ningún lado, se trata sobre un sistema de foros llamado Simple Machines Forum donde puedes administrar el tipo de contenido que puede tener el foro, por ejemplo puedes evitar entre comillas que alguier escriba la palabra "fuck" o "n00b", etc pero es muy facil de sobrepasar tal sistema de seguridad:

   
Código:
fu[b][/b]ck you!

El problema está en que SMF no verifica si algún BBCode es núlo insertando divisiones de estilos en el post y en algunos casos sin ser cerrados causando un pequeño deface en la página evitando filtros de spam y control de palabras.

En algunos casos sitios webs donde debes registrarte para ver los links puedes utilizar esta técnica para bypasear su MOD que impide su visualización interrumpiendo los carácteres "http://"

Aquí una demostración:



Fuente:
http://www.jccharry.com/blog/2008/10/04/whk_smf-116-filter-post-bypass.html
http://milw0rm.com/exploits/6665
« Última modificación: 4 Octubre 2008, 20:25 pm por WHK » En línea

Eazy

Desconectado Desconectado

Mensajes: 229


Eazy [FM-Team]


Ver Perfil WWW
Re: SMF 1.1.6 Filter Post Bypass
« Respuesta #1 en: 4 Octubre 2008, 10:19 am »

Buenisimo WHK, siempre descubriendo cosas nuevas vos ;)
En línea

[/url]
sirdarckcat
Aspirante a supervillano
Moderador
***
Desconectado Desconectado

Mensajes: 7.029


No estoy loco, soy mentalmente divergente


Ver Perfil WWW
Re: SMF 1.1.6 Filter Post Bypass
« Respuesta #2 en: 4 Octubre 2008, 23:32 pm »

jaja eso se usa desde hace años aqui :P de hecho en el post de recopilación de vulns de xss lo tuve q usar porq era la unica forma de poner code,/code.

Al rato descubriras que un moderador de un subforo puede poner chinchetas en subforos donde no es moderador xD
En línea

Castiblanco


Desconectado Desconectado

Mensajes: 2.438


Ver Perfil WWW
Re: SMF 1.1.6 Filter Post Bypass
« Respuesta #3 en: 4 Octubre 2008, 23:53 pm »

Y eso esta para que lo utilize el que sepa sdc o es que muy dificil tapar ese fallo, lo voy a utilizar algun dia...

Saludos...
En línea

WHK
Moderador Global
***
Desconectado Desconectado

Mensajes: 6.589


Sin conocimiento no hay espíritu


Ver Perfil WWW
Re: SMF 1.1.6 Filter Post Bypass
« Respuesta #4 en: 5 Octubre 2008, 17:12 pm »

Citar
Y eso esta para que lo utilize el que sepa sdc o es que muy dificil tapar ese fallo, lo voy a utilizar algun dia...

Así parece ser, un usuario hero de simple machines respondió que era tan dificil de resolver que simplemente no será reparado  :P


Citar
This is a known 'bug' however it isn't something we're going to fix. The reason for this is that checking for every single way of getting around the filter would take a lot of time.

http://www.simplemachines.org/community/index.php?topic=266023.0

Además como dicen mis amigos arabes  :xD
Citar
این مورد مشکل امنیتی نیست . در واقع راهی برای دور زدن فیلترینگ هست که اگر چک کنید بقیه forum ها هم همین مشکل رو دارن vBulletin - PHPBB - SMF & ....
También se puede usar en todos los foros que utilizen este sistema.

http://www.mambolearn.com/forum/index.php?action=printpage;topic=16766.0
« Última modificación: 5 Octubre 2008, 17:20 pm por WHK » En línea

Nakp
casi es
Ex-Staff
*
Desconectado Desconectado

Mensajes: 6.336

he vuelto :)


Ver Perfil WWW
Re: SMF 1.1.6 Filter Post Bypass
« Respuesta #5 en: 5 Octubre 2008, 21:24 pm »

jaja eso se usa desde hace años aqui :P de hecho en el post de recopilación de vulns de xss lo tuve q usar porq era la unica forma de poner code,/code.

Al rato descubriras que un moderador de un subforo puede poner chinchetas en subforos donde no es moderador xD

mentiras :P
[code][/code] (se me olvidó un slash xD)

como coadmin tenés acceso a modificar las etiquetas disponibles aquí :xD si las leyeras :rolleyes:

cita mi mensaje para ver como se hace jajaja
« Última modificación: 6 Octubre 2008, 03:21 am por Nakp » En línea

Ojo por ojo, y el mundo acabará ciego.
sirdarckcat
Aspirante a supervillano
Moderador
***
Desconectado Desconectado

Mensajes: 7.029


No estoy loco, soy mentalmente divergente


Ver Perfil WWW
Re: SMF 1.1.6 Filter Post Bypass
« Respuesta #6 en: 6 Octubre 2008, 00:26 am »

bueno, y como pones [nobcc][code][/code][/nobcc] sin el truquito? xD
En línea

Darioxhcx


Desconectado Desconectado

Mensajes: 2.294


Ver Perfil
Re: SMF 1.1.6 Filter Post Bypass
« Respuesta #7 en: 6 Octubre 2008, 01:02 am »

[­nobcc][c­­ode][/­code][­/nobcc]

(? XD
En línea

sirdarckcat
Aspirante a supervillano
Moderador
***
Desconectado Desconectado

Mensajes: 7.029


No estoy loco, soy mentalmente divergente


Ver Perfil WWW
Re: SMF 1.1.6 Filter Post Bypass
« Respuesta #8 en: 6 Octubre 2008, 01:40 am »

es nobbc!! XD jaja okok :P

no sabia que habia eso :¬¬ el de acronym igual hace poco me entere de su existencia
En línea

Nakp
casi es
Ex-Staff
*
Desconectado Desconectado

Mensajes: 6.336

he vuelto :)


Ver Perfil WWW
Re: SMF 1.1.6 Filter Post Bypass
« Respuesta #9 en: 6 Octubre 2008, 03:25 am »

es nobbc!! XD jaja okok :P

no sabia que habia eso :¬¬ el de acronym igual hace poco me entere de su existencia

por eso decía.. si leyeras que tags tenemos disponibles (solo lo saben los admin, pues están en el panel) :xD

salu2
En línea

Ojo por ojo, y el mundo acabará ciego.
Páginas: [1] 2 Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
[?] MAC Filter [?]
Wireless en Linux
CrcKr 0 2,628 Último mensaje 22 Enero 2011, 21:40 pm
por CrcKr
Anti-CSRF Filter Bypass SMF 2.0 / 1.1.14
Nivel Web
Preth00nker 0 3,247 Último mensaje 25 Agosto 2011, 21:31 pm
por Preth00nker
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines