Hacking Forumfree/Community

Hacking di Forumfree & Forumcommunity

Autore : Stefano Novelli aka murdercode
Mail : murdercode(at)gmail(dot)com
Site : www.infernet-x.com

Difficilmente si riesce a trovare una XSS o altro su Forumfree . Larika mi ha fatto notare come il contenuto nei
tag img in molti CMS non vengano filtrati , o almeno , filtrati parecchio male .
Forumfree.net li filtra , quello si , ma è possibile comunque superare il filtro .

Dunque , per fare un test (sempre per quello eh , non fate i lamer con gli exploit altrui !) inviamoci un messaggio privato
(ma potrebbe essere anche la firma o un messaggio in un thread) e componiamolo in questo modo :



A questo punto basti fare anteprima o leggere il messaggio e , come se non si vedesse nulla , in realtà eseguiamo la pagina
index.php .
#.jpg ? Perchè ? Perchè Forumfree.net fa dei controlli sull'estensione e non sull'intero script . In questo modo
gli facciamo credere che è un'immagine .

Per non farla troppo lamer questa mini-spiegazione vi lascio al vostro talento e alla vostra immaginazione .
NB : abbiamo preso spudoratamente forumfree.net sotto mano , giusto perchè è la community di forum italiana che utilizza
il CMS Invision , ma comunque è possibile utilizzare questo metodo per altri forum (sempre Invision ma probabilmente
anche altri .)