Сегодня по многочисленным просьбам решил протестировать авторизацию через WMLogin.Немного помучавшись,обнаружил,что дыра всё таки есть.Постараюсь описать,как ей воспользоваться.
Итак.Выбираем букс жертву с авторизацией через кипер.Будет сложно,но результата мы добьёмся.
Смотрим на ссылку для авторизации.она будет вида
https://login.wmtransfer.com/GateKeeper.aspx?RID=6b4aa7cb-2bc7-4f07-83a1-9dab000ff106 Нас интересует всё то,что находится после RID=Это мы выделяем,копируем и куда нибудь под руку кладём.Далее смотрим вмид проекта - чаще всего это вмид админа..Вмид тоже откладываем себе под руку.Затем авторизуемся через кипер и смотрим куда дальше будет переход.Обычно,это страница wmlogin.php.Нам это тоже нужно.
Следующий наш шаг: открываем оперу,идём на любой сайт.Входим в исходный код и этот исходный код ВЕСЬ удаляем.Вставляем следующее:
Затем то,что мы вставили,редактируете под жертву и жмёте \"Применить изменения\".На сайте,исходный код которого мы смотрим,всё исчезнет и будет кнопочка \"GO!\".Жмём на неё.Смотрим на результат.Если в аккаунт мы не попадаем,тогда ничо не поделать(( значит у админа уже стоит защита.Кто хочет проверить - ставьте себе дырявый плагин отсюда,ставьте и пробуйте.
А теперь будем защищаться.Погуглив немного,наткнулся на интересную статью по проверке тикетов.Расписывать тут я не буду,т.к. никто нихера всё равно не поймёт. =)
Устанавливаем:
Открываем файл wmlogin.php из архива и в нём в строке
$urlid=\"здесь_ваш_RID\"; Втыкаем ваш ID,полученный после добавления сайта в систему login.wmtransfer.com
Ну и ниже находим строку:
Сюда ваш вмид
- в неё вгоняем ваш вмид )
Всё =)
ffb67640
- 18 окт 2012короче ребята, давайте если писать то не упускать такой казалось мелочи, как полный путь до сертификата? хера ваш $root , если сертификат лежит не в корне а в папке xml, а? Вот люби бля парятся днями на пролёт, а всего то нужно упомятуть такую фигню!
grower
- 03 окт 2011Ребята!!
Помогите плиз!!!
Срочно надо под МФС замутить этот плагин.
Вроде все сделал так, как написано, а оно что-то не логинится.
Прошу помощи, в долгу не останусь.
xaker78
- 23 июл 2011LOZNEVOI-надо купить SSL сертификат длясвоего сайта
rusip
- 10 июл 2011"Неправильный тикет! Иди нахуй!"
Пишет "Отмена!". В чем дело???
Woken
- 21 июн 2011Ну? тему вообще кто нить посещает кроме меня?.....