BejelentkezésOldalsáv elrejtése
Felhasználói név: 
Jelszó: 
IP korlátozás 

The Guesbook  Go to the The Guestbook challenge

1 2
Összpontszám: 362445
Üzenetek: 107
Köszönetek: 151
Jó szavazatok: 94
Regisztrált: 16é 65n
Jinx Avatárja










A felhasználó offline
The Guesbook
Google/fordító2Köszönjük!1Értékes üzenet!0Gagyi üzenet! kapcsolás
Hi all,

I know the trick how to exploit it, I also recieve some error. I just don't get the correct string to exploit... any hint maybe what to google for?
Globális ranglista: 252
Összpontszám: 87258
Üzenetek: 1644
Köszönetek: 1343
Jó szavazatok: 894
Regisztrált: 16é 122n




Utoljára it járt: 1n 15ó
A felhasználó offline
RE: The Guesbook
Google/fordító1Köszönjük!1Értékes üzenet!1Gagyi üzenet! kapcsolás
I think there is nothing "specific" you could google for this challenge.
As always, "Code you see is code in use". No simulations.
A good idea is maybe to create the database/tables yourself and do the injections on your localhost with mysql console.

Good luck!
The geeks shall inherit the properties and methods of object earth.
Globális ranglista: 4986
Összpontszám: 3190
Üzenetek: 7
Köszönetek: 10
Jó szavazatok: 11
Regisztrált: 12é 129n
Utoljára it járt: 5é 209n
A felhasználó offline
RE: The Guesbook
Google/fordító1Köszönjük!1Értékes üzenet!0Gagyi üzenet! kapcsolás
It would be more helpful if you post the error messages here, instead the way of solving.

Regards
gizmore
Utoljára szerkesztette: gizmore - Március 02, 2012 - 14:30:07
Globális ranglista: 4986
Összpontszám: 3190
Üzenetek: 7
Köszönetek: 10
Jó szavazatok: 11
Regisztrált: 12é 129n
Utoljára it járt: 5é 209n
A felhasználó offline
RE: The Guesbook
Google/fordító1Köszönjük!1Értékes üzenet!0Gagyi üzenet! kapcsolás
I'm sorry about that. Actually figured what the garbled text was which I was getting as a reply. It was a gzipped version of the page. That is why I couldn't make head or tails of the characters. But now there is a new problem. My request gets timed out every time I send it to index.php . Even if I try without logging in and w/o adding the injection, it doesn't let me add entries to the guestbook. The code is what I posted yesterday. I can repost a short version of it here if you wouldn't mind (w/o the injection ofcourse).
Globális ranglista: 252
Összpontszám: 87258
Üzenetek: 1644
Köszönetek: 1343
Jó szavazatok: 894
Regisztrált: 16é 122n




Utoljára it járt: 1n 15ó
A felhasználó offline
RE: The Guesbook
Google/fordító1Köszönjük!1Értékes üzenet!0Gagyi üzenet! kapcsolás
Hmm, no idea what it could be.
You may post some code that does not spoil the vulnerability Smile
The geeks shall inherit the properties and methods of object earth.
Globális ranglista: 4986
Összpontszám: 3190
Üzenetek: 7
Köszönetek: 10
Jó szavazatok: 11
Regisztrált: 12é 129n
Utoljára it járt: 5é 209n
A felhasználó offline
RE: The Guesbook
Google/fordító2Köszönjük!2Értékes üzenet!0Gagyi üzenet! kapcsolás
Sure , here is the code that I am using to post the message onto the guestbook. It seems to timeout everytime I try posting it. I do get some reply but it always ends with a timeout. Sorry about the late reply BTW.
GeSHi`ed Plaintext kód
1
2
3
4
56
7
8
9
1011
12
13
14
1516
17
18
19
2021
22
23
24
2526
27
28
29
30
 
<?php
$callserv = fsockopen("10.201.13.50",80);    //This is the proxy server at my university. Opening a socket to it.
$out1 = "POST http://www.wechall.net/challenge/guestbook/index.php HTTP/1.1\r\n".
                "Host: www.wechall.net\r\n".
                "User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.8) Gecko/20100722 Firefox/3.6.8 ( .NET CLR 3.5.30729)\r\n".
                "Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8\r\n".
                "Accept-Language: en-us,en;q=0.8,ko-kr;q=0.5,mr;q=0.3\r\n".
                "Accept-Encoding: gzip,deflate\r\n".
                "Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7\r\n".
                "Proxy-Authorization: Basic (blah blah blah)==\r\n". //These are my credentials. So removing them.
                "Proxy-Connection: keep-alive\r\n".
                "Content-Type: application/x-www-form-urlencoded\r\n".
                "Content-Length: 39\r\n".
                "\r\n";
                "message=Hello+World&sign=Sign+Guestbook";
//$out2 =       "";
if(!$callserv){
                echo "Sorry";
                return;
        }
else {
                fwrite($callserv,$out1);
        }
while (!feof($callserv)) {
        echo fgets($callserv);
    }
fclose($callserv);
?>
 


It gets time out everytime I try to post something. This is the error message :
GeSHi`ed Plaintext kód
1
2
3
4
56
 
( ! ) Fatal error: Maximum execution time of 30 seconds exceeded in C:\wamp\www\socket1.php on line 26
Call Stack
#       Time    Memory  Function        Location
1       0.0186  369376  {main}( )       ..\socket1.php:0
 


I was wondering why a request as the above would take so much time, while it posts properly from the browser in a very short time.
Globális ranglista: 109
Összpontszám: 161664
Üzenetek: 13
Köszönetek: 16
Jó szavazatok: 15
Regisztrált: 15é 123n



Utoljára it járt: 1é 51n
A felhasználó offline
RE: The Guesbook
Google/fordító2Köszönjük!2Értékes üzenet!0Gagyi üzenet! kapcsolás
Are you sure you don't have to enter some kind of password to be able to use the proxy?
Globális ranglista: 544
Összpontszám: 46268
Üzenetek: 220
Köszönetek: 205
Jó szavazatok: 214
Regisztrált: 13é 183n
space Avatárja
A felhasználó offline
RE: The Guesbook
Google/fordító2Köszönjük!2Értékes üzenet!0Gagyi üzenet! kapcsolás
and why do you use a proxy? you could try the same without…
Contact only via c3BhY2VAd2VjaGFsbC5uZXQ= or PM...
Windows can be secure... but only if you don't use it Happy
Globális ranglista: 252
Összpontszám: 87258
Üzenetek: 1644
Köszönetek: 1343
Jó szavazatok: 894
Regisztrált: 16é 122n




Utoljára it járt: 1n 15ó
A felhasználó offline
RE: The Guesbook
Google/fordító1Köszönjük!1Értékes üzenet!0Gagyi üzenet! kapcsolás
It seems like basic authentication is sent in some http header.
Also some universities might require a proxy to connect to the outside (not sure here)

As i have no experience with proxies i cannot help here.
Challenge idea?

gizmore
The geeks shall inherit the properties and methods of object earth.
Globális ranglista: 4986
Összpontszám: 3190
Üzenetek: 7
Köszönetek: 10
Jó szavazatok: 11
Regisztrált: 12é 129n
Utoljára it járt: 5é 209n
A felhasználó offline
RE: The Guesbook
Google/fordító1Köszönjük!1Értékes üzenet!0Gagyi üzenet! kapcsolás
@ monnino : yes it needs a username and password. I have blanked them out by the (blah blah blah). Smile
@ space : its not a choice Sad the university needs us to authenticate everytime we need to use the internet

@gizmore : Thanks anyways, will try some other way to get around it Smile
1 2
jacobs, Redknee, tunelko, silenttrack, n0tHappy, quangntenemy, TheHiveMind, Z, balicocat, Ge0, samuraiblanco, arraez, jcquinterov, hophuocthinh, alfamen2, burhanudinn123, Ben_Dover, stephanduran89, braddie0, SwolloW, dangarbri, kalungmas feliratkozott erre a beszélgetésre és automatikusan e-mailt kap új üzenet esetén.
1 darab ember nézegeti jelenleg ezt a beszélgetést.
Ezt a beszélgetést 185498-szer jelenítettük meg.