[Super-CrystaL]

السلام عليكم ورحمة الله وبركاته
والصلاة والسلام على نبينا محمد وعلى آله أجمعين ..,,


لاادري هل المبرمجين يطلق عليهم " slacker" ام عدم تركيز فيما يفعلونه



تم كشف ثغرتين الاسبوع الماضي وتم المناقشه بها في فريق Geeks4arab كاعادة فريقي الخاص يتم كشف وتبادل الـ"Zero day bugs"

هدفي من الاعلان عن هذه الثغرات لسبب انها في برمجيات عربيه, ولن اعلنها في موقع securiteam او فوكس كابقيه الهاكرز العرب !

ليست عنصريه مني إن امتنع عن طرح ثغرات قمت بكشفها بمواقع عالميه ولكن هذه تخص مبرمجين عرب, وافضل ان نحذرهم بمواقع عربيه كي لايستغلونها "Lamrez" العرب المتواجدين دائما بصفحات الآمن العالمي ليحصلوا على ثغره تشبع رغباتهم .

الـexploit الاول قام بكشفه S-Key احد اعضاء team geeks4arab

وهي في خدمة رفع الملفات

الكود البرمجي الخاص برفع الملفات والصور غير كامل لفحص الملف قبل رفعه للموقع

لقد استطاع الاخ S-Key رفع ملف ذو امتداد php عالموقع عن طريق خدمة رفع الصور

تم التجريب على عدة مواقع

منها موقع arab7.com وخدمة رفع الصور بهذا الموقع تقراء امتداد الملف مع اول سطر من الكود وليس الاول والاخير من الكود !!

وتم رفع shell php بنجاح عالموقع

لن اشرح اكثر من ذالك حتى لايتم استثمارها من قبل الكيدز العرب

اما موقع s4a.cc -security4arab

تم التجريب عليه وهو لايقراء كود الملف ويركز فقط على الامتداد وتم التلاعب بهذه الخدمة بتغيير حروف الامتداد ونجح وقام برفع backdoor بنجاح

اتمنى من المبرمجين التركيز كي لايسببوا كوارث بالمواقع التى استخدمت برمجياتهم

------------------

الـexploit الثاني قمت بكشفه في forums من نوع MySmaartBB اعتقد ان المبرمج عربي

وهي ايضا لرفع ملف PHP عن طريق المرفقات

اتمنى من مبرمج النسخه ان يحل هذا الخطأ في الاصدار القادم

ملاحظة*

بالنسبه لثغره المرفقات الموجودة بمنتدى ماي سمارت لن تنجح لو تم رفع الملف كذالك ولن اشرح طريقة استثمارها

وسأقوم بتحذير الموقع الرسمي في الايام القادمة

=======لم اركز فقط على الـPHP يوجد Perl ايضا , ولكن لضرب مثال لااكثر =======

واتمنى التوفيق للجميع , ونصيحتي للمبرمجين التركيز قبل حدوث اخطأ قد تأدي لإختراق سيرفر بالكامل



By Super-Crystal

mail : ooloo605@hotmail.com

-#usr/lamerz/arab/exploit

[aldana1]

مصيبه هذه الثغرات


لكن من الواجب طرح طريقة تسكيرها

[dis]

عليكم السلام ورحمة الله وبركاته

موضوع مهم وطريقة العرض متميزه بالحرص على عدم التوضيح حتى لا يكون هناك استغلال للثغرات لكي لا يصبح اتجاه سلبي للهدف من الموضوع

جزاكم الله خير واتمنى لفريقكم التوفيق دائما وطرح مثل هذه الموضوعات التي يستفيد منها المبرمج في اغلاق الثغرات فأنتم تختبرون البرنامج وهذه العمليه تدفع لها الشركات الكبير مبالغ لاجراء مثل هذه الاختبارات

اكرر شكري واتمنى منكم الاستمرار في عملكم والاستفاده من هذه الموضوعات من قبل المبرمجين العرب

اخوكم dis

[Super-CrystaL]

إقتباس: اقتباس من مشاركة aldana1      مصيبه هذه الثغرات لكن من الواجب طرح طريقة تسكيرها

الحل عند المبرمجين

إقتباس: اقتباس من مشاركة dis      عليكم السلام ورحمة الله وبركاته موضوع مهم وطريقة العرض متميزه بالحرص على عدم التوضيح حتى لا يكون هناك استغلال للثغرات لكي لا يصبح اتجاه سلبي للهدف من الموضوع جزاكم الله خير واتمنى لفريقكم التوفيق دائما وطرح مثل هذه الموضوعات التي يستفيد منها المبرمج في اغلاق الثغرات فأنتم تختبرون البرنامج وهذه العمليه تدفع لها الشركات الكبير مبالغ لاجراء مثل هذه الاختبارات اكرر شكري واتمنى منكم الاستمرار في عملكم والاستفاده من هذه الموضوعات من قبل المبرمجين العرب

العفوا اخي العزيز ولاعملنا الا الواجب اتجاه برمجيات عربيه


واحب انوه انه تم اكتشاف ثغره قبل ثواني قليله في لوحة تحكم السي بانل من نوع Perl من احد اعضاء الفريق

وهي لتخطي كلمة المرور

ولكن لحد الآن جاري تطوير واغلاق الثغره وسيتم الاعلان عنها قريبا



تحياتى للجميع ونتمنى للجميع التوفيق

[آكت نت]

شكرا لك على التنويه
اخى الكريم