elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: ¿Eres nuevo? ¿Tienes dudas acerca del funcionamiento de la comunidad? Lee las Reglas Generales


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Hacking
| | |-+  Bugs y Exploits
| | | |-+  Nivel Web (Moderadores: sirdarckcat, WHK)
| | | | |-+  sobre Remote File Disclosure
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: sobre Remote File Disclosure  (Leído 3,233 veces)
sancakoky

Desconectado Desconectado

Mensajes: 60


Ver Perfil
sobre Remote File Disclosure
« en: 21 Noviembre 2010, 21:54 pm »

Hola buenas, pues vereis, he encontrado una pagina que me interesa muchisimo y trabaja con Moodle 1.9.3 (Build: 20081015).
He buscado informacion en google y he visto que tiene un bug que se explota a traves de Remote File Disclosure pero el caso esque no encuentro ningun exploits para este bug.
He visto la informacion a traves de esta pagina:
http://www.seguridadblanca.org/2009/...isclosure.html
Pero no entiendo bien lo que dice.
¿Esto se explota a traves de un exploits a nivel web?
He descubierto que tiene el filtro no activo.
En línea

Shell Root
Moderador Global
***
Desconectado Desconectado

Mensajes: 3.723


<3


Ver Perfil WWW
Re: sobre Remote File Disclosure
« Respuesta #1 en: 21 Noviembre 2010, 22:56 pm »

Serías más o menos como un Full Source Disclosure, es decir, se pueden explorar directorios que están ocultos a nuestros ojos, y a lo mejor los podemos descargar.
Por ejemplo,
Código
  1. GET /vulnerable.php?var=../vulfile.php HTTP/1.1
  2. Host: localhost

   Con la siguiente petición GET, le estamos diciendo a la variable ?var, que nos muestre el archivo vulfile.php del directorio anterior ../
« Última modificación: 23 Noviembre 2010, 18:34 pm por Shell Root » En línea

Por eso no duermo, por si tras mi ventana hay un cuervo. Cuelgo de hilos sueltos sabiendo que hay veneno en el aire.
sancakoky

Desconectado Desconectado

Mensajes: 60


Ver Perfil
Re: sobre Remote File Disclosure
« Respuesta #2 en: 23 Noviembre 2010, 12:31 pm »

Esto no funciona y creo que lo estoy haciendo mal.
Pongamos de ejemplo la ayuda que trae moodle:
http://dominio.es/moodle/help.php?file=groupmode.html
Bien he puesto sin mas la pagina tal cual con una variable file y un archivo groupmode.html y me muestra perfectamente el archivo.
Ahora le pongo la peticion get para descargarlo:
http://dominio.es/moodle/get/help.php?file=groupmode.html
y considera get como parte de la ruta saltandome el mensaje de error de que no existe moodle/get/help
¿Que hago mal?

En línea

Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
Remote file inclusion
Nivel Web
krispin 3 4,522 Último mensaje 12 Febrero 2005, 05:23 am
por Paisterist
Duda con Remote File Disclosure
PHP
pedrox@ 1 1,526 Último mensaje 13 Agosto 2008, 16:26 pm
por Diabliyo
File Disclosure en SimpleMachines Forum <= 2.0.3
Nivel Web
WHK 0 1,943 Último mensaje 7 Enero 2013, 16:17 pm
por WHK
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines