Foro de elhacker.net

Hola a todos,

  Ando finalizando mi proyecto fin de carrera en seguridad en Web 2.0 el cual incluye el desarrollo de un pequeño site del tipo red social. Ahora mismo tengo la beta publicada, y la idea es atacarlo y realizar una nueva version mejorando la seguridad.

  Sentios libres de experimentar con hackw20.tk (http://hackw20.tk/) y por favor, documentad vuestros ataques y posteadlos aqui o al email del administrador. Cualquier sugerencia de cualquier tipo es bienvenida (pero preferiblemente sobre aspectos de seguridad, ya se que la funcionalidad del sitio es muy pobre  )

Gracias de antemano. Nos vemos por aqui.

http://80.34.108.239/hackw20/application/user_management/login.php?msg=%3Ch1%3Easd

xd
con eso solo no podemo hacer nada che ?¿

Bueno, supongo que puedes forzar la escritura de cualquier mensaje de error, pero eso no es ningun problema de seguridad, ¿no?. Tomo nota de la sugerencia de todos modos.

Gracias, un saludo.

http://80.34.108.239/hackw20/application/user_management/login.php?msg=%3Cscript%3Ealert(document.cookie)%3C/script%3E

xss...
mmmmmmmm

Si me ilustras un poco te lo agradeceria, solo veo un pop-up que muestra las cookies, pero no se hasta que punto eso puede suponer un problema, puedes inspeccionar las cookies de muchas otras maneras. Mencionas XSS, pero no veo como puedes aplicarlo aqui. Perdon si son cosas evidentes para algunos, pero no soy ningun experto en seguridad.

De cualquier modo tambien me gustaria aprender a reventar mi propia aplicacion, mas que nada para aprender, asique si teneis por ahi documentacion util, os ruego que me remitais a ella. Buscare tambien por mi cuenta.

Gracias!

http://foro.elhacker.net/tutoriales_documentacion/tutorial_ataques_xss-t32042.0.html
http://foro.elhacker.net/tutoriales_documentacion/los_poderes_secretos_de_xss_cross_site_scripting-t98324.0.html
http://es.wikipedia.org/wiki/Cross-site_scripting

saludos

Si funcionara, intentaria hacer algo

"Object Not Found
The requested URL '/hackw20/application/user_management/login.php' was not found on the RomPager server.

Return to last page"

WTF
si funcionara que ? ._________.

Si funcionara la página dario  ;D

ahhh mira vos no entendia :P

http://80.34.108.239/hackw20/application/user_management

debe ser un local..
valla uno a saber

Es un router (P-660HW-D1) y si.. parece que es local  :o
Yo queria buscar vulns  ;D


PD:fin de carrera en seguridad en Web 2.0
Me parece que tu carrera no te sirvio de mucho, ya que ni siquiera conoces los riesgos de XSS  :silbar:

Piensa, el xss siempre se ha considerado una vulne de bajo nivel, pero que pasa sí en ves de mostrar tu cookie simplemente se roba? Además sí tienes xss seguro tienes csrf por algún lado ñ_ñ lo mejor en web es taparse el culo para todo y nunca mirar una vulne como insignificante.

Según los expertos: "Una vulnerabilidad es tan limitada como tú quieres que sea"

tmb se puede atacar al usuario final , no siempre se debe pensar en las cookies o parecidos
+1

Hola a todos de nuevo, gracias por el interes.

Ahora mismo el servidor esta caido, porque la verdad es que algunos se han tomado mucho entusiasmo en esto de reventarlo (esa era la idea, por otra parte), y bueno, tengo que ver que es todo lo que se ha hecho, reproducirlo, desarrollar una nueva iteracion, y pasaremos al segundo asalto (^_^)

Espero no tardar demasiado, gracias de nuevo. Saludos!

Estamos para ayudar, la proxima ves si podes y queres mandame un pm cuando lo postees  :silbar:, gracias. 

aaaah queria entrar pero esta offline xDD

Sera por esto…   :xD

Hola a todos, ya estamos de nuevo por aqui, podeis seguir usando la aplicacion para practicas.

 No ha evolucionado absolutamente nada, lo que he estado haciendo es asegurar el router, que alguien se cepillo por exceso de entusiasmo, recordad que una de las pocas condiciones de uso que hay es no se puede sobrepasar el ambito de la aplicacion.

  Lo que se ha encontrado hasta ahora es inyeccion de HTML y javascript, lo cual habilitaria XSS, phishing, y session hijacking, al menos en el board de comentarios de los usuarios (lo comento por si alguien quiere hacer practicas sobre vulnerabilidades conocidas)

  Creo que solo queda comentar, que por favor, reporteis lo que encontreis, tanto mejor cuanto mas documentado. Gracias.

Saludos!

Pufff... Esta hecha un cristo... xD

Solo he ojeado, pero a parte de los tropocientos XSS y CSRF. Hay varias Blind SQLi... Ciertamente no creo que haya ni un solo input vigilado, y además parece que hay algún problema en el control de permisos para poner mensajes en los tablones.

No he explotado los sqli, pero de entrada el usuario corre con más privilegios de los que debería.

Y no documento nada porque me huele a que ese debería ser tu trabajo! ¬¬

hay que registrarse o atacar ese script?

Pufff, muchísimos XSS, algunos persistentes. También hay XSRF y usurpación de identidad. Por cierto, en cuanto a lo del XSS una falla de bajo nivel... ja! [modeIronic=ON]tan poco potente como javascript, VBScript, ActionScript, etc...[modeIronic=OFF]

Saludos!

192.168.249.1

 ;D


192.168.1.36

Haha,

buena, a tiempo lo ha cortado :P

xss por donde sea... Por alguna extraña razon me muestra un error de SQL cuando escribo un inocente comentario del tipo:


no se porque xDDDDD

Tienes XSS hasta en los XSS. Le pusiste algo de Seguridad? Si aun no esta listo por favor avisanos cuando lo este ¬¬

Y personaliza tus errores...


Error 404

Error 403

Error 403 2.0 xD

En este ultimo te dice como hacerlo ;)

Pues



 :¬¬


No es cuestion de poner mas porque ayer en pleno ataque, me cortaron las alas en cuanto estaba posteando :D

En el titulo de los mensajes o en el body (una vez te haces una cuenta) se puede poner esto a base de XSS:

<ScRiPt>
document.body.innerHTML="<h1>Paga a unos testers!</h1>";
</ScRiPt>


Ademas, puedes *** la cuenta a otras personas pues interceptando con un Proxy local la peticion esta y cambiando el argumento "argv2="tu_nick" por la de otro nick. Algo lame seria poner lo mismo o un
<ScRiPt> while(1)alert("You are adviced!");</ScRiPt>


Saludos que sigo echando la siesta (hehe, hoy han caido 4 horazas de siesta, viva la vida Española !)


Ah, y modificando el innerHTML no haras deface a la page, solo cuando loguees en tu cuenta, por eso lo mejor seria hacerselo tambien a otro miembro pues interceptando con el proxy y cambiando el msg por lo que se expone..



/* MOD */

Es bien facil hacerselo a un "friend" y que no te ocurra  ti, el defacearle la cuenta a otro "friend" digo.
Interceptais con un Proxy la peticion para poner un mensaje en vuestro propia cuenta. En el momento de mandar, el Proxy intercepta. Ahi, a lo primero se cambia en la requesta:
GET http://80.34.108.239/hackw20/application/services/profile/profile.php?arg2=otronick

En el Referer tambien cambiad vuestro nick por el del otro por si las moscas (por cada peticion) y en el javascript de redireccion que se nos muestra en una de las respuestas dejad solo la variable arg2 con el otro nick. Asi defaceais la otra cuenta y no la vuestra.

Por supuesto desde el principio lo que se tiene que hacer es desde la cuenta propia, ir como a postear un mensaje. En el cuerpo del mensaje iria por ejemplo:

<ScRiPt>
document.body.innerHTML="<h1>Paga a unos testers!</h1>";
</ScRiPt>

y ya despues pues lo que he comentado interceptando con el proxy.


Ah al user "tesean" le defacee la cuenta asi, como todo esto es un test gratuito y no tiene mucha relevancia no me he preocupado claro. Lo mismo para el user "pimpim", que imagino que sera lo mismo.

yo creo que nos estan usando para testear su script, ponerle mas funciones y quien sabe el futuro.

@averno, valiente sin verguenza... xD Tienes suerte de que no vuelva a entrar, sino nos veriamos las caras! ;)

@ cgvwzq:

no por favor ! Yo soy inocente y buena persona !

Hehe, lo unico que crei que esas cuentas eran para testear, que no las habia registrado nadie de nosotros.


Saludos.


  /* MOD */

Si pueden vean al user que me he hecho "Maniac" y "Spoiler", visiten su perfil una vez logueados no tiene desperdicio :D

Lo mismo se lo podria hacer con la tecnica del proxy, pero a otros users en vez de a mi pero como que se me acaban los amigos   -.-'