FORUM DARKERS

Exploit para o VBulletin 3.0.8 ou menos.

What it does?
Extracts the username, password hash and salt of the specified user from a VBulletin board of version 3.0.8 or less.

Conditions
1.) Requires permissions to access moderator control panel
2.) Requires permissions to add/modify announcements
3.) The board must have remote posting enabled

How to use
1.) Copy the code below into a new html document.
2.) Modify the post action of the form to the server you wish to exploit.
3.) Load it into your web browser.
4.) Follow the instructions from there.

[Obs: Não traduzi para inglês pois não sei falar inglês para consertar os erros do tradutor!]

Exploit:

Quote

   

Martin's modcp/Announcement.php SQL Injection

Affects: Vbulletin <=3.0.8

http://www.m-s-d.net/ (http://www.m-s-d.net/)

Conditions:


1.) You must be a moderator


2.) Remote posting must be enabled

Instructions:


1.) Modify the location of the form post in this file


2.) Create an announcement as per normal


3.) Ensure you are logged into the forum


4.) Fill out the form below and then press "Next" and "Launch Exploit"


5.) Read the modified announcement to get the password, hash and username

Enter the existing announcement id:

Enter the userid to gather information for:



Enter the title to give the announcement:



Next >>

Fonte: h4ckyou.org

Eu explico com minhas palavras.

Ele pega da database o login e a hash da senha de qualquer usuário do vBulletin 3.0.8 ou menor.

Condições:
1- Você deve ter permissões de moderador
2- Tem que ter permissão para criar/editar anúncios
3- O fórum tem que estar com a Postagem Remota ativa.

Como usar:
1- Copiar o código do exploit para um documento HTML
2- Mudar a ação do post no formulário (Post action) para o servidor que deseja exploitar (27ª linha, com o conteúdo:

)
3- Abrir com algum navegador.
4- Siga as instruções contidas na página.


O ruim dessa falha é que você deve ter direitos de Moderador para poder Exploitar. E não é em qualquer lugar que você consegue direitos de Moderador.

HadeS

Isso mesmo, só não sabia se estava certo...

Como você mesmo disse o ruim é ter direitos de moderador... e não é qm qualquer lugar que vc consegue eles.
Mas do resto ele é nota 10.

Falou!

mas se tiver como moderador funfa? alguem ja testo ?
flw