[bugs] Catastrophe for MyMuWeb

RedSky

Дата: Четверг, 02.05.2013, 17:28 | Сообщение # 1

Сержант

Группа: Пользователи

Сообщений: 22

Репутация: 7

Статус: Оффлайн

Доброго времени суток,

нашел небольшую цепь событий которая приводит к довольно печальным последствиям для серверов где установлен ммв.

Тип Уязвимости : RCE ( Remote Code Execution )
Уязвимые версии : все версии ммв, включая 0.8 Final

Демо : http://www.youtube.com/watch?v=DmW409sWVXQ

Автор : RedSky
Дата : 04.04.2013

happy

Реклама

Vaflan

Дата: Четверг, 02.05.2013, 19:39 | Сообщение # 2

Генералиссимус

Группа: Администратор

Сообщений: 478

Репутация: 225

Статус: Оффлайн

Это только для особых серверов, не на каждом это работает.
Но всёравно спасибо, поржал )

RedSky

Дата: Пятница, 03.05.2013, 13:03 | Сообщение # 3

Сержант

Группа: Пользователи

Сообщений: 22

Репутация: 7

Статус: Оффлайн

Цитата (Vaflan)

Это только для особых серверов, не на каждом это работает.
Но всёравно спасибо, поржал )

работает абсолютно на всех серверах где стоит ммв)

Swoop

Дата: Суббота, 04.05.2013, 10:15 | Сообщение # 4

Полковник

Группа: Модераторы

Сообщений: 232

Репутация: 12

Статус: Оффлайн

нужно протестировать smile

Вёрстка + натягивание вёрстки на движок сайта.
Исправление шаблонов сайта.
Обращаться сюда:
skype: deagle19921
icq: 466-266-741

RedSky

Дата: Воскресенье, 05.05.2013, 12:31 | Сообщение # 5

Сержант

Группа: Пользователи

Сообщений: 22

Репутация: 7

Статус: Оффлайн

Цитата (Swoop)

нужно протестировать

хех) удачи]

webmous

Дата: Понедельник, 06.05.2013, 18:54 | Сообщение # 6

Лейтенант

Группа: Проверенные

Сообщений: 48

Репутация: 3

Статус: Оффлайн

Ломать – не строить!
лучше бы все помогали, вас больше бы оценили, чем что то взломать....

www.data.ru.com

k2proud

Дата: Понедельник, 06.05.2013, 22:41 | Сообщение # 7

Майор

Группа: Проверенные

Сообщений: 59

Репутация: -2

Статус: Оффлайн

Цитата (Vaflan)

Но всёравно спасибо, поржал )

Если то что на видео правда ето далеко не смешно.

А что ты будешь делать если я прижму тебя и заставлю отвечать за пиздеж ?

RedSky

Дата: Понедельник, 06.05.2013, 23:21 | Сообщение # 8

Сержант

Группа: Пользователи

Сообщений: 22

Репутация: 7

Статус: Оффлайн

Цитата (webmous)

Ломать – не строить!
лучше бы все помогали, вас больше бы оценили, чем что то взломать....

я просто показал что это возможно. В паблике нет информации о том как это сделать, и я пока не собираюсь такую инфу выкладывать)
Я не против того чтобы помочь.. но за бесплатно, я это делать не буду, мне выгоднее продать инфу за неплохие деньги.

Цитата (k2proud)

Если то что на видео правда ето далеко не смешно.

правда правда.. поверь] Я могу конечно выложить еще 20 - 30 похожих видео показывая как ронять сервера, но смысл.. мне за это не платят.

k2proud

Дата: Понедельник, 06.05.2013, 23:29 | Сообщение # 9

Майор

Группа: Проверенные

Сообщений: 59

Репутация: -2

Статус: Оффлайн

Ето именно на ммв или на других тоже ?

А что ты будешь делать если я прижму тебя и заставлю отвечать за пиздеж ?

SanneA

Дата: Вторник, 07.05.2013, 03:19 | Сообщение # 10

Генерал-майор

Группа: Модераторы

Сообщений: 358

Репутация: 166

Статус: Оффлайн

Цитата (RedSky)

работает абсолютно на всех серверах где стоит ммв)

******* удачи wink

Ссылку убрал ради безопасности (Vaflan)

Сообщение отредактировал SanneA - Среда, 08.05.2013, 08:53

speka07

Дата: Пятница, 10.05.2013, 16:38 | Сообщение # 11

Генерал-майор

Группа: Проверенные

Сообщений: 447

Репутация: 50

Статус: Оффлайн

Цитата (Vaflan)

Это только для особых серверов, не на каждом это работает.
Но всёравно спасибо, поржал )

Ну тут нет ничего смешного.
Вместо смеха помог бы людям это исправить.

З.ы с такими темпами ММВ с ВБВ превратится в прах
Реклама

k2proud

Дата: Воскресенье, 12.05.2013, 15:29 | Сообщение # 12

Майор

Группа: Проверенные

Сообщений: 59

Репутация: -2

Статус: Оффлайн

Цитата (speka07)

Ну тут нет ничего смешного.
Вместо смеха помог бы людям это исправить.

З.ы с такими темпами ММВ с ВБВ превратится в прах

А что ты будешь делать если я прижму тебя и заставлю отвечать за пиздеж ?

Сообщение отредактировал k2proud - Воскресенье, 12.05.2013, 15:29

Vaflan

Дата: Воскресенье, 12.05.2013, 21:43 | Сообщение # 13

Генералиссимус

Группа: Администратор

Сообщений: 478

Репутация: 225

Статус: Оффлайн

WBV это вообще другая история, это вообще близко не стоит с mmw )
Я бы с удовольствием помог бы, но это надо всё переписывать для безопасности, глядя на код, мне аж плакать хочется, на сколько всё ужасно. По этому не рекомендую использовать MMW до тех пор, пока кто нить не перепишет. У меня просто уже сил нет что либо делать за спасибо, когда ещё некоторые нед бы поддержать, так обсерают, показывают что ломаемо всё, ну конечно я был юн и глуп, нет бы помочь бесплатному проекту и носом ткунь где ошибка.
Вообще так, мне очень жаль что так всё с проектом случилось, мне казалось я изменю своим сайтом отношения к Му Серверам, но не тут то было. Крах и провал :\

kvachi

Дата: Воскресенье, 12.05.2013, 21:50 | Сообщение # 14

Рядовой

Группа: Пользователи

Сообщений: 5

Репутация: 0

Статус: Оффлайн

печально конечно, автор, расскажи хоть Вафалану где прячется уязвимость

vivamu

SanneA

Дата: Понедельник, 13.05.2013, 22:30 | Сообщение # 15

Генерал-майор

Группа: Модераторы

Сообщений: 358

Репутация: 166

Статус: Оффлайн

http://habrahabr.ru/post/143548/

Цитата (Vaflan)

пока кто нить не перепишет

Я по пытаюсь сделать, если смогу smile

k2proud

Дата: Четверг, 23.05.2013, 16:06 | Сообщение # 16

Майор

Группа: Проверенные

Сообщений: 59

Репутация: -2

Статус: Оффлайн

Советую Поснимать Всем свои MMW ! Работоспособность этого бага уже проверил я и админ MuDecay.Ru !
Это критичиский БАГ там возможно вырубить любой процесс на серверной-машине PC и даже удалить сервер.... У меня на сервере порисовали вещи,снимали бан ... Так как тот кто ето делал хотел играть и хорошо что не навредил норм мне... Как дальше жить без ММВ не знаю как помне другие сайти лажа... Надеюсь будет кокойто фикс...

А что ты будешь делать если я прижму тебя и заставлю отвечать за пиздеж ?

Сообщение отредактировал k2proud - Четверг, 23.05.2013, 16:08

RedSky

Дата: Воскресенье, 26.05.2013, 20:09 | Сообщение # 17

Сержант

Группа: Пользователи

Сообщений: 22

Репутация: 7

Статус: Оффлайн

Я некоторое время отсутствовал, постараюсь ответить всем

SanneA, смотрел я твой сайт, сразу же заметил что там много всего либо переписано, либо изменено, тестить RCE не стал, дабы не оставить лишних следов, протестил только саму уязвимость которая приводит к этому, и она присутствует и на твоем сайте.

Vaflan, ну.. нет ничего идеального. До сих пор все ставили ммв и все норм было. Мало кто нашел эту багу, она не очевидная... тут немного фантазии нужно) ... так что никакой это не крах) ... + в интернете нет информации об этом баге ( кроме моей конечно ), но быкладывать инструкции как это дело сделать я уж точно не буду.

k2proud, комментарий ни о чем. И кстати, то что ты там перечислил... про Root Access слышал?

kvachi, увы, не стану. и в паблике тоже не появится.

Сообщение отредактировал RedSky - Воскресенье, 26.05.2013, 20:10

k2proud

Дата: Воскресенье, 26.05.2013, 20:46 | Сообщение # 18

Майор

Группа: Проверенные

Сообщений: 59

Репутация: -2

Статус: Оффлайн

Цитата (RedSky)

k2proud, комментарий ни о чем. И кстати, то что ты там перечислил... про Root Access слышал?

О ДДОС слишал? Хочеш опять ? Будеш без инета сидеть и тебе ни мусара ни провайдер не поможет если самнюха тока скажи wink

!Анесте Андрей Владимирович скайп : andriuha1394 Ип с форума совпадает с чертом что у меня на серве ето чудил !

IP 92.115.164.122
Хост: host-static-92-115-164-122.moldtelecom.md
Город: Chisinau
Страна: Moldova, Republic of
IP диапазон: 92.115.0.0 - 92.115.255.255
Название провайдера: JSC MOLDTELECOM SA

А что ты будешь делать если я прижму тебя и заставлю отвечать за пиздеж ?

Сообщение отредактировал k2proud - Воскресенье, 26.05.2013, 20:55

RedSky

Дата: Воскресенье, 26.05.2013, 21:14 | Сообщение # 19

Сержант

Группа: Пользователи

Сообщений: 22

Репутация: 7

Статус: Оффлайн

давай малёк, покажи класс.

P.S : меня не зовут Андрей) это уж точно.

Сообщение отредактировал RedSky - Понедельник, 27.05.2013, 16:24

Swoop