Druckbare Version
Hey Leute
Ich hatte in der Schule Langeweile und habe mal die Software Schulfilter Plus 2.1 auf Lücken abgesucht.
Dort habe ich eine XSS Lücke gefunden.
Sofort habe ich es mal Local augespielt und getestet.
Da ich öfters gesehen habe, wie Leute versuchen den Filter zu Bypassen, habe ich mal nen V-Tut gemacht.
Viel Spaß (:
Download: RapidShare: 1-CLICK Web hosting - Easy Filehosting
Source Mein Blog: http://creative-shadow.blogspot.com/...r-plus-21.html
thx
wir nutzen in unserer schule den gleichen filter
werde es mir angucken und morgen ausprobieren
werde es mir mal ansehen.
aber eine frage: was hast von ner xss?
Mit XSS kommst du an den Cookie.
In dem Cookie ist PHPSession ID.
Diese fakst du einfach, wenn du die vom Lehrer hast und kannst dich über diese aktuelle ID einloggen.
Somit kommst du rein und kannst dir nen Acc erstellen, mit Admin rechten unsw unsw.
Hm, den wirklichen sinn erkenne ich draus immer noch nicht.
An meiner Schule (so wie an den meisten Schulen denke ich) hat nur der IT-Support Zugriff auf die Filter etc. und diese sind sicherlich nicht so blöd und Klicken auf einen Externen link um zur Verwaltungssoftware zu kommen noch denke ich gehen diese während des Unterrichts in dieses Portal.
Und wenn Sie dieses Tun würden wäre ich an meiner Schule z.B. immer noch am arsch da der ganze Traffic der PC's geloggt wird und die es somit nachweisen könnten welcher rechner dies getan hat.
Klingt sehr interessant ;)
Werde es mir gleich mal reinziehen...
Vielen Dank im Vorraus
ihr geht einfach
firefox rein geht auf extras und dann auf einstellungen
dann auff erweitert und dann auf netzwerk dann wieder auf einstellungen und dann proxy aus machen und auf okay drücken eigentlich ganz einjfach
das mit den Einstellung in Firefox geht auch nicht..
ich umgeh das ding immer mit nem webproxy
ha ur lustig...
bin grad in der arbeit und das netzwerk hat ein Schutz von Fortinet
geh ich aufs tut und meint:
http://rapidshare.com:8008/XX/YY/ZZ/logo_fguard_wf.gifhttp://rapidshare.com:8008/XX/YY/ZZ/logo_fnet.gifWeb Page Blocked
You have tried to access a web page which is in violation of your internet usage policy.
URL: rapidshare.com/files/391844289/Bypass_Schulfilter_Plus_2.1_mit_XSS_by_Shadowstyle .rar.html
Category: Personal Storage
To have the rating of this web page re-evaluated please click here.
Override
Powered by FortiGuard.
Das lustige ist nur FH wird nicht geblockt XDDD
Frage gibts da was von Fortiguard?
geh mal auf Muh Vieh Production - mvp-filme.de
und da auf proxy der is recht unbekannt der is zumindest beim schulfilter + bei uns nich gesperrt
Naja die XSS bringt eigentlich nichts. Zumindest wenn du versuchst die Session zu ziehen. Dafür müsste er ja auf den Link von dir gehen was sehr unwahrschinlich ist. Da dieser meistens an seinem eigenen Rechner sitzt.
Außerdem ist das kein Bypass was du hier fälschlicher weiße behauptet hast, sondern eher einfach ne XSS Lücke, damit kann man ja nicht normal weitersurfen. ;)
Was allerdings oft viel besser funktioniert, ist das standard Passwort im Handbuch ;) Bei uns und bei nem Kumpel auf der Schule hat das geklappt.
Ich glaube der Login war
tfkadmin:tfkadmin
Aber guckt zur Sicherheit nochmal im Handbuch nach!
Wer einen richtigen Bypass will kann ja mal hier gucken :
http://free-hack.com/tauschb%C3%B6rs..._1_bypass.html
Vielleicht gefällt mir seine Begründung ja ;)
Aber du kannst dich doch mit der PHP Session ID einloggen.
Somit kann man den Filter deaktivieren oder sich ein neuen Account erstellen.
Das mit dem Link ist natürlich nicht so einfach.
Aber vielleicht ist es ja auch ein Anreiz, nach weiteren Sachen zu suchen.
So sicher scheint der Schulfilter Plus nicht zu sein ;).
Wie du selber sicher weißt.
OoO.... ich lese hier webproxy , proxys, OoO alles Verboten!
Dabei gibt es doch einen "legalen" weg alle Seiten sich anzeigen zu lassen^^
-Google übersetzer -> Seite übersetzen -> Surfen^^ :lol:lol:lol:lol
PS: Fragt eure Lehrer vorher ob es Verboten ist den Google übersetzer zu nutzen! (Meist Gehörte Antwort: Hä warum sollte es?? Setzen sie sich!)
Damit habt ihr dann die Erlaubniss von nem Lehrer^^ falls ihr gesperrt werden solltet^^ :lol:lol:lol:lol