• B правой части каждого сообщения есть стрелки ⇧ и ⇩. Не стесняйтесь оценивать ответы. Чтобы автору вопроса закрыть свой тикет, надо выбрать лучший ответ. Просто нажмите значок ✔ в правой части сообщения.

  • 15 апреля стартует «Курс «SQL-injection Master» ©» от команды The Codeby

    За 3 месяца вы пройдете путь от начальных навыков работы с SQL-запросами к базам данных до продвинутых техник. Научитесь находить уязвимости связанные с базами данных, и внедрять произвольный SQL-код в уязвимые приложения.

    На последнюю неделю приходится экзамен, где нужно будет показать свои навыки, взломав ряд уязвимых учебных сайтов, и добыть флаги. Успешно сдавшие экзамен получат сертификат.

    Запись на курс до 25 апреля. Получить промодоступ ...

Проблема с patator

kasperai

kasperai

Active member
01.05.2019
38
0
BIT
0
Пытаюсь за брутить свой аккаунт, но не получается. На сайте есть капча, пытался через proxychains4 и через privoxy+tor, но так же без толку.
Так же пытался через fgrep и code, тоже не получается.
Код: 
patator http_fuzz url=https://-----------/cab/auth?return_uri=/cab method=POST body='return_uri=%2Fcab&login=FILE1&password=FILE0' 1=/root/login.txt 0=/root/pass.txt follow=1 -x ignore:fgrep='Неверный пароль'

17:20:40 patator    INFO - Starting Patator v0.7 (https://github.com/lanjelot/patator) at 2019-10-09 17:20 MSK

17:20:40 patator    INFO -                                                                         

17:20:40 patator    INFO - code size:clen       time | candidate                          |   num | mesg

17:20:40 patator    INFO - -----------------------------------------------------------------------------

17:20:41 patator    INFO - 200  5997:6092      0.077 | 17626225577:ajl1325q                 |     1 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  6003:6098      0.041 | 17626225577:jgfsjsgfjsgf           |    11 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  5999:6094      0.043 | 17626225577:jgfsjsgf               |     3 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  6003:6098      0.075 | 17626225577:hjgfsjsfgjsg           |     4 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  6002:6097      0.043 | 17626225577:gsfjsgfjsgf            |    10 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  6002:6097      0.077 | 17626225577:sfgjgsfjgsf            |     2 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  6003:6098      0.041 | 17626225577:jsgfjsgfjgfs           |    12 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  5999:6094      0.042 | 17626225577:gfhjfghj               |    13 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  6001:6096      0.077 | 17626225577:fjsgfjgfsj             |     5 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  6001:6096      0.048 | 17626225577:gfsjsgfjsg             |     6 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  6001:6096      0.076 | 17626225577:fjsgfjgfsj             |     7 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  6003:6098      0.082 | 17626225577:sgfjsgfjgsfj           |     8 | HTTP/1.1 200 OK

17:20:41 patator    INFO - 200  5997:6092      0.048 | 17626225577:1admin                 |     9 | HTTP/1.1 200 OK

17:20:41 patator    INFO - Hits/Done/Skip/Fail/Size: 13/13/0/0/13, Avg: 21 r/s, Time: 0h 0m 0s
 
Сортировать по дате Сортировать по голосам
f22

f22

Codeby Academy
Gold Team
05.05.2019
1 834
225
BIT
961
kasperai сказал(а):
На сайте есть капча, пытался через proxychains4 и через privoxy+tor
Нажмите, чтобы раскрыть...
А как по твоему прокси должны вводить эту самую капчу, если она выскакивает каждый раз?
Patator как раз отрабатывает штатно, получая 200-ый код от страницы...

Давать советы в такой ситуации сложно, но кроме использования
Ссылка скрыта от гостей
,
либо написания собственного алгоритма и увеличения интервала времени между попытками,
на ум ничего больше не приходит.

P.S. ну и поиск уязвимостей ресурса ещё никто не отменял...
 
За 0 Против
kasperai

kasperai

Active member
01.05.2019
38
0
BIT
0
Верно говорите, но капча появляется токо в том случае, если больше двух разов неправильно был введён пароль. Я просто думал что лучше с разных ip адресов отправлять запрос. Что-бы капча не появлялась
 
За 0 Против
f22

f22

Codeby Academy
Gold Team
05.05.2019
1 834
225
BIT
961
kasperai сказал(а):
если больше двух разов неправильно был введён пароль
Нажмите, чтобы раскрыть...
Ты пробовал делать словарь из двух строк, второй строкой вбивать свой пароль.
В таком случае удаётся авторизоваться, до проверки капчи?
 
За 0 Против
kasperai

kasperai

Active member
01.05.2019
38
0
BIT
0
Прошу прощения за свою глупость, но можете поподробнее сказать что мне нужно делать. Я не понимаю что от меня требуется.
 
За 0 Против
f22

f22

Codeby Academy
Gold Team
05.05.2019
1 834
225
BIT
961
При запуске Patator'a ты указываешь параметр 1=login и 0=password, это пути файлов.
kasperai сказал(а):
1=/root/login.txt 0=/root/pass.txt
Нажмите, чтобы раскрыть...
Тебе нужно из файла паролей удалить все строки и оставить там один пароль правильный.
Тогда можно будет понять, получается ли войти с твоими учётными данными и правильно ли указаны остальные параметры.
 
За 0 Против
nikromikon

nikromikon

Green Team
27.08.2019
44
2
BIT
0
kasperai сказал(а):
Прошу прощения за свою глупость, но можете поподробнее сказать что мне нужно делать. Я не понимаю что от меня требуется.
Нажмите, чтобы раскрыть...
Тест техники которую будешь применять, т.е. используешь софт на заведомо известные логин:пароль.
Если всё гуд, то вперёд и с песней в бой)
 
За 0 Против
kasperai

kasperai

Active member
01.05.2019
38
0
BIT
0
f22 сказал(а):
При запуске Patator'a ты указываешь параметр 1=login и 0=password, это пути файлов.

Тебе нужно из файла паролей удалить все строки и оставить там один пароль правильный.
Тогда можно будет понять, получается ли войти с твоими учётными данными и правильно ли указаны остальные параметры.
Нажмите, чтобы раскрыть...
Вот что у меня получилось
Код: 
patator http_fuzz url=https://-------------/cab/auth?return_uri=/cab method=POST body='return_uri=%2Fcab&login=FILE1&password=FILE0' 1=/root/login.txt 0=/root/pass.txt follow=1 -x ignore:fgrep='Неверный пароль'
22:50:04 patator    INFO - Starting Patator v0.7 (https://github.com/lanjelot/patator) at 2019-10-31 22:50 MSK
22:50:04 patator    INFO -                                                                             
22:50:04 patator    INFO - code size:clen       time | candidate                          |   num | mesg
22:50:04 patator    INFO - -----------------------------------------------------------------------------
22:50:04 patator    INFO - 200  5997:6092      0.053 | 17626225577:ajl1325q                 |     1 | HTTP/1.1 200 OK
22:50:04 patator    INFO - 200  5979:6062      0.047 | 17626225577:                       |     2 | HTTP/1.1 200 OK
22:50:04 patator    INFO - Hits/Done/Skip/Fail/Size: 2/2/0/0/2, Avg: 3 r/s, Time: 0h 0m 0s

Попробовал и с code=200, такой же результат
Код: 
patator http_fuzz url=https://-------------/cab/auth?return_uri=/cab method=POST body='return_uri=%2Fcab&login=FILE1&password=FILE0' 1=/root/login.txt 0=/root/pass.txt follow=1 -x ignore:code=200
22:50:21 patator    INFO - Starting Patator v0.7 (https://github.com/lanjelot/patator) at 2019-10-31 22:50 MSK
22:50:21 patator    INFO -                                                                             
22:50:21 patator    INFO - code size:clen       time | candidate                          |   num | mesg
22:50:21 patator    INFO - -----------------------------------------------------------------------------
22:50:22 patator    INFO - Hits/Done/Skip/Fail/Size: 0/2/0/0/2, Avg: 3 r/s, Time: 0h 0m 0s
Значит я делаю что-то не так
 
За 0 Против
f22

f22

Codeby Academy
Gold Team
05.05.2019
1 834
225
BIT
961
Попробуй изменить строку вот так.
patator http_fuzz url=https://-------------/cab/auth?return_uri=/cab method=POST patator http_fuzz url=https://-------------/cab/auth method=POST body='return_uri=%2Fcab&login=FILE1&password=FILE0' 0=/root/pass.txt 1=/root/login.txt follow=1 -t 2 -x ignore:code=200 accept_cookie=1

Внимательнее посмотри лог подключения, нажми в браузере F12
и там окно console.
Посмотри, какие приходят данные об успешной авторизации.

Что-то мне подсказывает, что ошибка где-тотут
body='return_uri=%2Fcab&login=FILE1&password=FILE0'
 
За 0 Против
kasperai

kasperai

Active member
01.05.2019
38
0
BIT
0
f22 сказал(а):
Попробуй изменить строку вот так.
patator http_fuzz url=https://-------------/cab/auth?return_uri=/cab method=POST patator http_fuzz url=https://-------------/cab/auth method=POST body='return_uri=%2Fcab&login=FILE1&password=FILE0' 0=/root/pass.txt 1=/root/login.txt follow=1 -t 2 -x ignore:code=200 accept_cookie=1

Внимательнее посмотри лог подключения, нажми в браузере F12
и там окно console.
Посмотри, какие приходят данные об успешной авторизации.

Что-то мне подсказывает, что ошибка где-тотут
body='return_uri=%2Fcab&login=FILE1&password=FILE0'
Нажмите, чтобы раскрыть...
Ничего не изменилось. А в консоле ничего не пишется
 
За 0 Против
Для ответа нужно войти/зарегистрироваться
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!

Верх Низ