[Hacking] Webspell hacken

Dieses Thema im Forum "Security Tutorials" wurde erstellt von Nikemare, 17. November 2006 .

Schlagworte:
Status des Themas:
Es sind keine weiteren Antworten möglich.
  1. 17. November 2006
    Webspell hacken

    So, in diesem Tutorial werde ich euch zeigen, wie man ganz leicht eine Webspell Website hackt. Doch zuerst, was ist eigentlich Webspell? Unter Webspell versteht man ein sehr bekanntes Content-Management-System(kurz: CMS). Doch was ist jetzt wieder ein CMS? -> Content-Management-System – Wikipedia.

    Jetzt sollte bei einigen von euch eine Leuchte angehen, also fangen wir mal an; ihr benötigt folgende Tools(, die ihr allesamt bei Google findet):
    1. Browser-> Firefox ist zu empfehlen!
    2. LiveHTTPHeaders
    3. Editor-> WordPad(bei Windows dabei), ACHTUNG: Der "Standard-Editor" von MS und Mircosft Word sind nicht für unsere Ansprüche geeignet!!!

    Jetzt installiert ihr den LiveHTTPHeaders, und dann kann es auch schon losgehen. Ihr könnt euch jetzt Homepages von Freunden/Bekannten/... vorknöpfen, aber auch von fremden Leuten. Um solche Seiten zu finden gebt ihr einfach in Google "XTREAM-TEAM-CLAN"(natürlich ohne ") ein. Da seht ihr dann eine sehr grosse Liste mit Seiten, die alle auf Webspell basieren. Die ersten Resultate könnt ihr sofort vergessen, da diese Seiten schon allesamt von andren Leuten gehackt worden sind. Geht also auf die 10. Seite oder höher suchen.

    Exploit: http://[SITE]/[PATH]/admin/database.php?action=write&userID=1 (z.B. http://www.DeineSeite.de/Inhalt/admi...write&userID=1
    http://www.DeineSeite.de/admin/datab...write&userID=1 )

    Jetzt solltet ihr normalerweise eine Datei namens "Backup" downloaden. Das ist die SQL Datenbank. Nun müssen wir in dieser Datei die den Admin suchen. Dieser befindet sich meist unter "webs_user". Tipp: sucht etwas unten, da die Tables dem Alphabet nachgeordnet sind. Das "U" befindet sich also etwas hinten im Alphabet.
    Jetzt müssen wir den Admin finden, dieser hat immer die ID 1, steht alse ganz am Anfang, und die ID steht auch immer dabei!
    Schreibt euch den Usernamen und das MD5 verschlüsselte Passwort raus, falls ihr es nach müheseligem Suchen endlich gefunden habt!

    Dann öffnen wir Firefox. Geht auf "Extras"-> LiveHTTP Headers. Ladet die Webspell Seite jetzt neu (F5). Jetzt kommen im LiveHTTPHeaders lauter Zeilen mit "Sachen" stehen. Scrollt ganz nach oben, dann klickt ihr auf den "Cookie"! Und jetzt auf "Wiederholen" Jetzt ändert ihr den Cookie folgendermassen:
    ws_auth=Username%3AMD5Passwort (z:b.: ws_auth=FRee%3A924f454a9b5e6b543bd174119ac7b5e5)
    Zwischen den Usernamen(von dem Admin) und das Passwort(ebenfalls von dem Admin) setzen wir "%3A"(natürlich ohne ")!

    Wenn ihr das gemacht habt, klickt ihr in dem Fenster, indem wo ihr grad den Cookie "gefakt" habt "Wiedeholen"! So, wenn jetzt alles gut ging, dann solltet ihr jetzt auf der Homepage als Admin eingelogg sein!
    Viel Spass noch,

    MFG Nikemare
     
  3. Video Script

    Videos zum Themenbereich

    * gefundene Videos auf YouTube, anhand der Überschrift.