 |
العفو يا أخواني وشاكر لكم مروركم وردودكم الطيبه بارك الله فيكم
أخ random_X
شكراً على السؤال
عزيزي هذا الترقيع او التحديث سميه مثل ماتحب يشمل كل الترقيعات السابقه .
وهذا التحديث الثاني .
التحديث الأول كان يشمل ترقيع ثغرة الفلاش الموجوده في كل من الميديا والرييل بليير والفلاش أيضاً إضافه لإصلاح الأخطاء .
التحديث الثاني يشمل التحديث الأول إضافةً الى ترقيع ثغرة الشعر مع إصلاح خطأ MARK .
أشكركم على المرور وبالتوفيق
مشكووووووووور اخوي العندليب وماقصرت
ولكن هناك ثغره بالهاك وهي في مركز التحميل المرفق مع الهاك
واتمنى من الجميع اغلاق مركز التحميل حتى يتم حل المشكله
العفو اخي وهذا واجبيالمشاركة الأصلية كتبت بواسطة alsnafi.com
أنت تقول هناك ثغره في مركز التحميل المرفق مع الهاك!!
إذن أين الدليل على كلامك وأين التحليل ؟؟
باستطاعتي أن أقول لا تقوموا بتركيب نسخة 3.0.8 لأن به ثغره ولكن أين الدليل ؟!؟!
بانتظارك
بسم الله الرحمن الرحيم
السلام عليكم ورحمة الله وبركاته
صار لي اكثر من 8 اشهر ماشاركت بسوالف سوفت وحبيت انه تكون رجعتي بسوالف بالمشاركة على مواضيعك
يالعندليب
قطعا لابد ان نشكرك على كل ماقدمته لنا لان انت والله من القله الي ساعدونا والله يجزيك خير
بس معليش عندي كم سؤال بخصوص امن منتديات فيبولتين نسخ vb 3.0.X
اولا كيف امنع الاعضاء من رفع ملفات الشل هذا الامر مهم جدا وللاسف اغلب المنتديات العربيه يتم اختراقه بسب هذه الملفات لانها بتسمح للاعضاء انهم يرفعون ملفاتهم اما عن طريق مركز الرفع او الصور الشخصيه او المرفقات لان اغلبهم يربط الوج بموقع مجاني ومثل ما انت عارف بعد رفع الملف توصل لهم البيانات.
ثانيا اخوي العندليب في ثغره كبيره جدا جدا بالرسائل الخاصه وانصح الزملاء بحذف ملف private.php
انت والله يشهد ماقصرت عطيتنا ترقيع للملف بس للاسف هذه الثغره تم تطويرها بشكل رهيب جدا وهي خاصه بسرقة عضوية الادمن.
اخيرا اخوي العندليب هل نسخ الاصدارة الحديثة من فيبولتين vb 3.0.5 تحتوي على نفس ثغرات نسخ vb 3.0.X ام تم تجاوز الثغرات
تحياتي لك وشكرا لك على مجهودك الكبير
أخوك حسن
اخويه العندليب انا جربت مركز التحميل ولا حظت انه يسمح برفع الملفات ذات الامتداد ( alsnafi.php.jpg ) والجميع هنا بسوالف يعرف مدى خطورة هذا الامتداد وهذي الثغره تم حلها في مركز اخوي فنان من قبل احد الاعضاء في سوالف ياريت ياخوي العندليب انك تحلها في هذا المركز وهذا هو رابط موضوع حل ثغرة مركز فنان
http://www.swalif.net/softs/showthre...1%C9+%D1%DD%DA
اخ clever
وعليكم السلام ورحمة الله وبركاته
وحمداً لله على سلامتك ويسرني أن أراك تشارك مجدداً معنا
بالنسبه لتساؤلاتك وهي:
ملفات الشل هي برامج تسمح للمخترق بتنفيذ أوامر على نظام السرفر .اولا كيف امنع الاعضاء من رفع ملفات الشل
وحتى يتم منع تشغيل هذه البرامج يجب تعطيل بعض دوال الـ php الخطيره وهذه يقوم بعملها المستضيف الذي يحمل موقعك وسبق وان كتبت موضوع ذلك لا يحضرني رابطه الان .
الذي أعرفه ان الرسائل الخاصه كان بها ثغرة من نوع XSS وتم ترقيعها ومسألة التطوير للثغره هذه جائز تكون صحيحه مثل ماحدث في ترقيع ثغرة الشعر ولكن قبل أن تقول ثغره ياعزيزي يجب أن يكون معك دليل أو برهان على وجود الثغره حتى توضح للأعضاء بأنه فعلاً توجد ثغره أما طريقة الاستثمار للثغره فأنت حر إن كنت تريد نشرها أم لا .ثانيا اخوي العندليب في ثغره كبيره جدا جدا بالرسائل الخاصه وانصح الزملاء بحذف ملف private.php
انت والله يشهد ماقصرت عطيتنا ترقيع للملف بس للاسف هذه الثغره تم تطويرها بشكل رهيب جدا وهي خاصه بسرقة عضوية الادمن.
انت تقصد نسخة 3.5.0اخيرا اخوي العندليب هل نسخ الاصدارة الحديثة من فيبولتين vb 3.0.5 تحتوي على نفس ثغرات نسخ vb 3.0.X ام تم تجاوز الثغرات
الحقيقه العلم عند الله يا أخي بخصوص ثغراتها فأنا لم أفهم المغزى الأساسي من إصدار مثل هذه النسخه ولكن يبدولي أن البرمجه تغيرت من الأساس.
الأخ alsnafi.com
عزيزي للمعلوميه وللتوضيح للمره الثانيه
رفع الصور المرفق مع الهاك لا يسمح بما ذكرت وهذا نص مقتبس من كلامي في السابق عن الأمن في رفع الصور المرفق مع الهاك.
والملف الذي تقول أنك قمت برفعه واسمه alsnafi.php.jpg سوف يقوم الهاك بتغيير اسمه كما ذكرت لك في النقطه الثالثه .
تحياتي لكم
مشكور اخوي العندليب
بس تم تطوير الثغرة\\\ اقصد الفلاش\\ وتجاوزت بها جميع الترقيعات الاولة وتجاوزت حظر كلمة الكوكيز
ولم اجد لها اي ترقيع وطبقتها على كم منتدى وتم سرقت الكوكيز ؟ طبعا جربتها بعلم اصحابها وليس القصد الاختراق؟
المهم اذا شفت نفسك فاضي اكتب ايميلك وانا اضيفك
في اااامااااااان الله
بسم الله الرحمن الرحيم
اشكرك اخي العندليب على ردك
بالنسبة للشل فانا عرفت الملف من احد المشاركات هنا بسوالف
اما بالنسبة لثغرة الرسائل الخاصه انا اقصد Documents.Cookies لان تم تطويرها انا ماعرفت التطوير بس قريت باكثر من منتدى انه تم تطويرها ومثل ما انت عارف الي يطور ثغره صعبه انه يعلن عنها لكي لايتم كشفها
انتهينا من vb3.0.x
===================
وشكرا لك على التوضيح بخصوص نسخة 3.5.0
ولو ماعليك راح ارسل لك رسالة على ايميلك وارجو ان ترد علي
تحياتي لك
حسن
اهلين وسهلين بالأخ Rock aRaB
عزيزي عندما قمت بالتنبيه عن ثغرة الفلاش في الترقيع الأول شرحت في كلامي أنه بالإمكان تضمين كووود جافا سكربت داخل ملف الفلاش نفسه وكان الكوود البديل لرمز [FLASH] الموجود في الهاك يسمح بتنفيذ هذه الجافا لذلك تم إصدار ترقيع لكي يمنع تنفيذ هذه الجافا داخل ملفات الفلاش وأيضاً داخل ملفات الرييل بليير .
والذي تذكره أنت ربما يكون على المنتديات التي لم تقم بالترقيعات التي أدرجتها .
ع العموم هذا إيميلي واي استفسار انا حاضر
al3ndaleeb@uk2.net
الأخ Clever
العفو ياعزيزي وهذا واجبي للتوضيح عن تساؤلاتك
أما بخصوص ثغرة الرسائل الخاصه الذي ذكرتها فهي موجوده ولكن تم حلها فعلاً وبخصوص التطوير الذي سمعته عنها فأنا قمت بالسابق بشرح برهان على وجود الثغره ( دون الاستثمار )
ربما كان التطوير الذي سمعته يقصد به تركيب استثمار لها بدلاً من البرهان الذي وضعت .
وشكرا على مرورك
تحياتي لكم
اخوي العندليب ياليت لو تتكرم ممكن ترد على الرسالة الي على الايميل وشكرا لك
يستطيع اي شخص ان يقوم بالتسجيل ورفع الملفات
يستطيع اي عضو أن يحصل على 10 مشاركات بسهوله ورفع ما يريد
و في الاخير يقوم الهاك بأعطاء العضو اسم الملف الذي تم تغيره
الامتداد التالي ( alsnafi.php.jpg ) يقوم الهاك بمعاملته وكأنه jpg لانه ينتهي بــ jpg وعند طلبه من خلال المتصفح تظهر الاكواد الخبيه التي تم زرعها بداخله
اخي العندليب انا من المعجبين كثيراً بهاك ازرار الاضافيه ولكن ما اقوم به ما هو الا نقد بناء
للتأكد اكثر عن الثغره ارجو اضافتي على المسنجر : alsnafi.com@hotmail.com
عزيزي من قال لك أنني لا أقبل النقد !؟!؟
بالعكس
والله إني أفرح بالنقد ولكنني أناقشك بشيء أنت أتيت به ويجب أن أرد عليك برد علمي واضح حتى يرى المشاركين معنا بالموضوع الحقيقه من كلامك أو كلامي .
ع العموم
في كلامك ذكرت بأنه
الملف الذي بمثالك سوف يتم تغيير اسمه الى اسم اخر على سبيل المثال 1_18083131331.jpgالامتداد التالي ( alsnafi.php.jpg ) يقوم الهاك بمعاملته وكأنه jpg لانه ينتهي بــ jpg وعند طلبه من خلال المتصفح تظهر الاكواد الخبيه التي تم زرعها بداخله
كيف سيتم زرع أكواد خبيثه بالله عليك في ملف صوره ؟
اي رابط صوره غير سليم لو قمت بطلبه عن طريق المتصفح سوف يظهر بدلاً منه علامة × .
للتوضيح أكثر
إفرض أنني قمت بعمل ملف نصي يحتوي على سبيل المثال مايلي :
وقمت بتسميته script.jpg وقمت برفعه عن طريق الهاككود PHP:<script>
alert('alsnafi');
</script>
سوف يقبل الهاك الملف لان امتداده من الامتدادات المسموحه وسوف يقوم بتغيير اسمه الى اسم اخر مثل 1_18023131212.jpg وسوف يعطيني رابط هذا الملف .
لو قمت بطلب هذا الرابط لن يعمل وسوف تظهر علامة × في عرض الصوره .
أتمنى يكون المثال وضح المقصود
لو عندك تعليق مبني على دلائل علميه تفضل انا متابع
تحياتي لك وشكراً على النقاش
الملف الذي بمثالك سوف يتم تغيير اسمه الى اسم اخر على سبيل المثال 1_18083131331.jpg
كيف سيتم زرع أكواد خبيثه بالله عليك في ملف صوره ؟
كلام عين العقل العندليب
حبيت اضيف شيء بسيط الحين لما الشل اذا جيت ترفعة وحولت امتداد الى صورة على انك مثلا تبي تخدع مركز تحميل ماراح تستفيد
مو مشكلة بيرفعة على الامتداد اللي مثلا هو jpg and gif على حسب المسموح به المركز بيطبق وبرفع الامتداد على حسب طلبك وبيعرضة في المتصفح
الحين انتهى المفعول بالنسة للشل php للي برمج مثلا علية الشل انتهى
اعرض الرابط بعد التحميل شوف وشو بيطلع لك لاتتوقعة مثلا مثل ثغرة rar
اللي بالمركز تراها غير تغير الامتداد ياخوي الى صورة ينتهي مفعول الشل ؟
لكن هناك خدعة اخرى تقدر ترفع من خلال مركز التحميل وهي بصراحة من اكتشافنا مدري في احد يدري عنها نرفع شل php من غير تغير امتداد ولا شيء الشل php ويشتغل زي العسل
بس مو على كل المراكز وصدقوني بالله انني لم اضر مسلما؟
كيف الله اعلم؟
:con2: :con2: :con2:
العندليب ممتاز زين ذكرت
عشان مولازم افتح موضوع جديد التوفير زين\\\ هههههههه
المهم
شف اخوي العندليب عندي قاعدة mysql 4.1 ابي احولها الى 4.0 وتبهذلت جربت طريقتك بس موخويي جرب طريقتك اللي هي تحويل الترميز بس مانفعت وهي الحين على جهازي وفتحتها وحجمها 500 ميقا
قلي على اي شيء اعدلة من الجداول انتظر يالعندليب
تقبل تحيتي
في ااااامااااااان الله
شكراً أخي ROCK aRaB على النقاش وبارك الله بيك
بس ليتك تبين للشباب هذه النقطه
هل تعمل على تحميل الصور المرفق بالهاك ؟لكن هناك خدعة اخرى تقدر ترفع من خلال مركز التحميل وهي بصراحة من اكتشافنا مدري في احد يدري عنها نرفع شل php من غير تغير امتداد ولا شيء الشل php ويشتغل زي العسل
إذا كان فيه اي ملاحظات أدلوا بأرائكم يا أخواني ترى النقاش يفيد في التطوير .
بارك الله بيكم
أخي ROCK aRaB
راسلني على الايميل اذا اردت تحويل الـ MySQL من 4.1.11 الى 4.0.0
بالتوفيق جميعاً
ضوابط المشاركة
رد مع اقتباس