Filelist.ro, no protection on delacct.php

[shop_toolz]

Noroc, nu vreau sa supar pe nimeni prin postarea asta. De la inceput tin sa mentionez ca am incercat sa il contactez pe Toxic(administrator), dar fara succes. Nu am afectat in vreun fel integritatea siteului si nici nu am de gand, pentru ca multi imi sunt prieteni.

"Vulnerabilitatea" pe care am gasit-o se refera la pagina delacct.php, prin care orice utilizator isi poate sterge contul, folosindu-se doar de datele de login. Nu este ceruta confirmare prin email si nici macar o confirmare on page. Nu asta ar fi problema, problema consta in faptul ca site-ul nu limiteaza numarul de attempts, asta insemnand ca oricine poate realiza un atac de tip bruteforce asupra oricarui cont, finalitatea unui atac reusit fiind stergerea respectivului cont.

In fine, trimiterea variabilelor se face in POST, fiind vorba de 2 stringuri(n, numele de utilizator si p, parola). Cum ziceam, nu am nimic cu baietii si sper ca in urma mesajului meu sa fixeze aceasta scapare. Acum am putea incepe o intreaga contradictie despre gradul de vinovatie al developerului sau al userului in caz ca se intampla ceva, dar mai bine sa nu o facem. Tin sa subliniez si eu cat de important este sa folositi parole cat mai non-dictionary si mai complexe.

[dekeeu]

contact@filelist.ro

Staff-ul Filelist este foarte ok ; daca ei vor considera bug-ul tau o vulnerabilitate, cu siguranta o vor repara.

[Nytro]

Sa fim seriosi... Nu e nicio problema.

[shop_toolz]

Well, nytro, fara sa mi-o iei in nume de rau, este.

In 5 minute iti fac un script care sa-mi ia toate usernameurile de pe site si in alte 5 minute fac un bruteforcer. Un dictionary pe RO si 30% din conturi sunt sterse.

~Later edit: Ok, inca un lucru. Ca atacator cunosc mailul si contul filelist al unui anumit x-ulescu. Desi este o gandire prepubertina(ideea de bruteforce) cred ca e cunoscut faptul ca multi dintre noi folosesc aceiasi parola peste tot. Poate nu aici, dar un utilzator obisnuit cam asa face. Fac bruteforce la filelist.ro pana primesc ok-ul. Am sanse sa aflu si parola mailului asa, pe langa faptul ca ii sterg contul lui x-ulescu. In fine, intradevar mare lucru nu se poate face, dar e o scapare.

Edited November 10, 2013 by shop_toolz

[Dragos]

Well, nytro, fara sa mi-o iei in nume de rau, este.

In 5 minute iti fac un script care sa-mi ia toate usernameurile de pe site si in alte 5 minute fac un bruteforcer. Un dictionary pe RO si 30% din conturi sunt sterse.

~Later edit: Ok, inca un lucru. Ca atacator cunosc mailul si contul filelist al unui anumit x-ulescu. Desi este o gandire prepubertina(ideea de bruteforce) cred ca e cunoscut faptul ca multi dintre noi folosesc aceiasi parola peste tot. Poate nu aici, dar un utilzator obisnuit cam asa face. Fac bruteforce la filelist.ro pana primesc ok-ul. Am sanse sa aflu si parola mailului asa, pe langa faptul ca ii sterg contul lui x-ulescu. In fine, intradevar mare lucru nu se poate face, dar e o scapare.

Daca tot vrei sa faci nebunii, fa un stealer, baga-l intr-o poza, urco pe net si pune linkul de la ea intr-unul din topicurile cu concursuri pe FL

//testat acum vreo 3-4 ani pe GH0S7

[rakims]

Daca ai nevoie de parola nu vad care e problema. Cine ar face asta in loc sa se foloseasca de conturi?

[Valium]

Intr-adevar nu-i o vulnerabilitate dar daca nu exista o limita de X incercari pe cont sau pe IP apoi pauza de cateva zile poate pune in pericol siguranta conturilor.

Dar trebuie sa fim putini realisti, cine sta sa-ti faca brute la un cont de filelist? Nu-i cont bancar, nu-i vorba de bani, nu-i ceva atat de important, mai repede te orientezi sa faci brute unui cont cu sute de domenii si servere pe el.

Brute? prea invechit cuvantul.

Edited November 10, 2013 by Valium

[BLKoldSUN]

Cautati pe varul google: clona filelist si o sa gasiti engine-ul trackerului. Asa veti putea analiza codul sursa.

[Andrei]

Ipotetic e vulnerabilitate, dar asa cum a spus si Nytro, nu e nimic realizabil din punct de vedere al timpului/rezultatelor. Asa poti da brute force si pe wordpress-uri pentru ca majoritatea nu au limita de a reincerca parola. So what?

[dicksi]

filelist down se vede ca nu si-au revenit din baute administratorii:D

[Silviu]

La mine merge perfect.

[dicksi]

da acum si-au revenit

verificasem si pe http://www.downforeveryoneorjustme.com/