.htaccess

HackForum

.htaccess#
Dobrý den.
Mějme na serveru soubor .htaccess, který je určen k vytvoření dialogového okna pro zadání uživatelského jména a hesla (a následnému předání těchto přihlašovacích údajů souboru .htpasswd) např.:

----------------------------------------
.htaccess:

AuthType Kerberos
AuthName "Login on server...."
KrbMethodNegotiate off
Krb5Keytab /etc/server/.htpasswd
KrbAuthRealms server.domain.com
require valid-user
----------------------------------------
----------------------------------------

.htpasswd

pepa hash_pepova_hesla
----------------------------------------

Je v principu možné pozměnit kód souboru .htaccess takovým způsobem, aby jednak posílal přihlašovací údaje souboru .htpasswd, ale současně tyto údaje (heslo však jako plaintext !) ukládal do souboru (např. do check.log).
To vše za předpokladu, že nejsem admin, ale do souboru .htaccess mám plný přístup (r, w), avšak do souboru .htpasswd přístup nemám (ani pro read).


Díky moc.


(odpovědět)
zero_88978 | 158.194.74.*8.1.2013 18:15
re: .htaccess#
[link]
(a kdybys nechapal: [link] )
(odpovědět)
hkl | 94.113.1.*8.1.2013 20:23
re: .htaccess#
Díky.Je to zajímavé a mám pár nápadů jak by se toho dalo využít, ale přesto to není to , co jsem přesně hledal. Primárně mi jde o využití/zneužití poupraveného .htacces aby to fungovalo podobně jako třeba FakeGina.dll, pošle login a hash tam kam má (SAMu) a současně login a heslo do C:/check.log

Díky.

(odpovědět)
zero_88978 | 158.194.74.*12.1.2013 20:07

Zpět
 
 
 

 
BBCode