Hello there, ('ω')ノ
Hackxorを選択して、下記でログインして。
username:algo password:smurf
Burp Suiteでアクティブスキャンからもこの程度の脆弱性しか見つからず。
使い方に問題があるのだろうかと。
まずは、２つのメールの内容を。
１つは、大した内容ではなく。
もう一つのメールの内容を確認すると。
次の攻撃の背後にいるハッカーの名前とアドレスを入手してとのことで。
加害者はTORを使用するため、IPはあまり使用されず。
イメージ、フラッシュ、Javaアプレットなどをロードせず。
何らかのインターセプトプロキシが必要になる可能性もあるとか。
BURP、Webscarab、ZAPをお勧めすると。
マゾヒストなら、代わりにfirefoxのアドオンTamperDataを使うことができるとか。
追跡された場合は、攻撃が進んでいることに気付く可能性があるため。
NoScriptが役立つ場合があるらしく。
とりあえず、Refereを確認することに。
表示されていないメールを確認できて。
どうやら、写真をアップロードしとか。
その中には下記のリンクがあって。
http://wraithbox:80/htmlisland.jsp?messageid=2849902671918618960
普通にクリックするとエラー画面が。
どうもURLの内容からSQLインジェクションをしかけているような。
実際に記述されているURLへアクセスしてみると下記のサイトが表示されて。
http://www.photobucket.com?id=321085
もうひとつ、左メニューのLogin historyを選択すると履歴が見れて。
URLを確認するとログインIDが表示されているので。
これは、認証バイパスに脆弱かと思い。
http://wraithbox/history.jsp?id=algo
さっそく、さきほど隠れたメールで得られたユーザ名で履歴を確認することに。
ログイン履歴チェッカープロ！
あなたを攻撃している人を見てください！ -|-| 3X3Rによるアドオン
とのことで、なんのことやら。
http://wraithbox/history.jsp?id=rwilson
http://wraithbox/history.jsp?id=hkoch
Best regards, (^^ゞ
