logo Homepage
+  NewbieContest
|-+  Divers» Hacking» La Faille Include
Username:
Password:
Accueil Aide Rechercher Identifiez-vous Inscrivez-vous
Pages: [1]
  Imprimer  
Auteur Fil de discussion: La Faille Include  (Lu 6146 fois)
bizzard4

Profil challenge

Classement : 842/54277

Néophyte
*
Hors ligne Hors ligne
Messages: 38


Voir le profil
« le: 11 Janvier 2006 à 00:02:44 »
**orthographe !** voulu tester la faille include comment elle maichait sur mon serveur web personnel. J'ai créé un compte sur multimania et j'Ai uploader les fichier de mon site web (avec la faille fait par expret). Sur mon serveur local j'Ai créé un fichier "hack.php".

J'ai tester la faille sur le site multimania et sa marche le site google apparet. Bon j'ai assailer de loader le script hack.php mais le problem c'est qu'il modifie le ficheir "index.php" SUR mon serveur local cher moi et non sur lui à multimania.

J'ai tester le contraire (metre les fichier à hacker sur mon serveur local pi le fichier hack.php sur multimania) et ca fait pareil ca créé un fichier index.php avec le petit message.

J'ai aussi tester le tout sur mon propre serveur web et sa fait pareil. ET meme tester sur un site trouver avec la faille et ca fait comme toute les autres possibilité.

Mon code de mon fichier "hack.php" est :

<?php
$log=fopen("index.php","w");
fwrite($log, "

<html>
<head>
<title>Hack by Fire</title>
</head>
<body bgcolor=balck>
<center>
<h1>
Ca marche tu ?
</h1>
</center>
</body>
</html>

");
fclose($log);
?>

Si quelqu'un sais pourquoi ca fait ca alors il pouret m'expliquer. Merci !
Journalisée
Folcan

Profil challenge

Classement : 507/54277

Membre Héroïque
*****
Hors ligne Hors ligne
Messages: 1520


Voir le profil
« #1 le: 11 Janvier 2006 à 08:19:08 »
Tu peux decrire comment tu fais pour inclure ta page hack.php dans ton url multimania ??

(d'**orthographe !** il me semblait que multi etait en safe mode, donc pas d'include exterieur, je voi pas comment tu arrive a afficher google...)
Journalisée
-=[FoLc@N]=-

Citation :
* Le futur appartient à ceux qui croient à la beauté de leurs rêves, je crois au miens, NewbieContest aura un bon futur.
* Il y'a seulement 10 categories de gens dans la vie : ceux qui comprennent le binaire, et les autres.
noitan

Profil challenge

Classement : 6322/54277

Membre Héroïque
*****
Hors ligne Hors ligne
Messages: 657


Voir le profil WWW
« #2 le: 11 Janvier 2006 à 08:59:12 »
Citation
le problem c'est qu'il modifie le ficheir "index.php" SUR mon serveur local cher moi et non sur lui à multimania.
t'as tester de remplacer
Citation
$log=fopen("index.php","w");
dans ton code par l'URL complete pour index.php
Journalisée
---------------------------------------------------------------------------------
>COMPUTERS IN THE FUTURE MAY WEIGH NO MORE THAN 1.5 TONS<
---------------------------------------------------------------------------------
Popular Mechanics, 1949
Folcan

Profil challenge

Classement : 507/54277

Membre Héroïque
*****
Hors ligne Hors ligne
Messages: 1520


Voir le profil
« #3 le: 11 Janvier 2006 à 09:47:37 »
No mais si le script s'execute sur son local, c'est deja que il l'inclue mal...
Journalisée
-=[FoLc@N]=-

Citation :
* Le futur appartient à ceux qui croient à la beauté de leurs rêves, je crois au miens, NewbieContest aura un bon futur.
* Il y'a seulement 10 categories de gens dans la vie : ceux qui comprennent le binaire, et les autres.
Mr_KaLiMaN
Relecteur

Profil challenge

Classement : 64/54277

Membre Senior
*
Hors ligne Hors ligne
Messages: 426


Voir le profil WWW
« #4 le: 11 Janvier 2006 à 13:17:01 »
Le principe du php c'est que le code est interprété sur le serveur donc quand tu l'inclues à partir de chez toi avec easy php il est interprété chez toi, normal.
Donc le truc c'est que le serveur où tu mets le fichier piégé (hack.php) ne doit pas interpréter le php...
Compris?
Pas d'abus de cette faille c'est pas bien.
Journalisée
bizzard4

Profil challenge

Classement : 842/54277

Néophyte
*
Hors ligne Hors ligne
Messages: 38


Voir le profil
« #5 le: 11 Janvier 2006 à 14:33:47 »
Okok je comprend faudrait que mon fichier sois sur le serveur de la cible ?. Dans ste ca la c'est plus compliquer. lol

Sur multimania c vrai que je suis pas capable d'ouvrir la page ca m'Avait sortie de l'esprit a case que je les tester parreil (mais évidament sa marche po).
Journalisée
ulmo
Profil challenge

Classement : 3800/54277

Néophyte
*
Hors ligne Hors ligne
Messages: 11


Voir le profil
« #6 le: 11 Janvier 2006 à 15:25:44 »
Comme il l'execute en local avant de l'inclure, je pense qu'il faut mettre quelques chose comme ca :

Code:
< ?
print(« < ? ») ;
?>
print(« $REMOTE_ADDR ») ;
< ?
print(« ?> ») ;
?>
sinon, je vous recommande un trés bon document sur le sujet
http://www.zataz.com/images/documentation/1488697439411e001823d1f.pdf

voili voilou, en esperant que ca t'aidera ...

ulmo.
Journalisée
ulmo
Profil challenge

Classement : 3800/54277

Néophyte
*
Hors ligne Hors ligne
Messages: 11


Voir le profil
« #7 le: 11 Janvier 2006 à 15:28:12 »
ou alors, tu n'inclue pas "hack.php" mais "hack.txt", tu change l'extension
comme ça il exécute pas et ça donne le même résultat.
« Dernière édition: 27 Août 2008 à 23:20:40 par ulmo » Journalisée
Folcan

Profil challenge

Classement : 507/54277

Membre Héroïque
*****
Hors ligne Hors ligne
Messages: 1520


Voir le profil
« #8 le: 11 Janvier 2006 à 16:29:41 »
Mais de toute maniere il faut d'abord qu'il trouve un serveur correcte, qui a le safe mode off, et qui accepte les include exterieurs (tous les hebergeurs pro)
Journalisée
-=[FoLc@N]=-

Citation :
* Le futur appartient à ceux qui croient à la beauté de leurs rêves, je crois au miens, NewbieContest aura un bon futur.
* Il y'a seulement 10 categories de gens dans la vie : ceux qui comprennent le binaire, et les autres.
bizzard4

Profil challenge

Classement : 842/54277

Néophyte
*
Hors ligne Hors ligne
Messages: 38


Voir le profil
« #9 le: 11 Janvier 2006 à 18:46:27 »
Mon serveur webpersonnel comprend toute ses faille la lol. Je peu tout tester lol ya aucune protection . Je fait le tout sur mon propre serveur web que j'Ai separer en 2. (cible et attaque).
Journalisée
Cerberus
Profil challenge

Classement : 7397/54277

Néophyte
*
Hors ligne Hors ligne
Messages: 38


Voir le profil
« #10 le: 14 Février 2006 à 19:18:23 »
Pour que le script s'éxécute sur le serveur distant et non sur le serveur local,il faut juste que tu remplaces l'extension de ton script (.php) en extension fichier texte (.txt)
Essai tu verra la différence

EDIT : J'avais pas vu que ulmo avait déja fait un post similaire au mien avant moi
Journalisée
Le jardin du voisin est toujours plus vert que le nôtre.
Pages: [1]
  Imprimer  
 
Aller à:  

Powered by SMF 1.1.21 | SMF © 2006-2011, Simple Machines MySQL | PHP | XHTML | CSS