[Finalizado] Hackea a elhacker.net v2.0 (ganador: yoya)

[dont'Exist]

Recién le doy bola a este post... 

Para cuando lo consiga hacer, me va a costar explicarlo porque así de duro soy para la pedagogía. Pero una buena "verseada" le pegaré.

[Abakus]

Hay tres formas de hacer una peticion get y Post hacia un host evadiendo el referer, no dare mas pistas   , estan omitiendo un dato super importante

De esas formas, hay alguna en la que no se necesite la cookie?

[WHK]

Es un csrf, no necesitas cookies.

Si doy mas pistas entonces les estaría revelando el bug y no sería merito propio, asi que como podriamos ponerlos en el blog y en el boletin mensual si yo les doy las pistas?

[WHK]

SMF no verifica que el referer sea correcto, si le dan un vistazo al código fuente verán que solo verifica que el referer no sea un enlace externo solamente, eso quiere decir que..... [censurado]

Que pasa al utilizar https://www.google.cl/ ? han visto live headers cuando hacen busquedas desde google?

Con esas dos pistas les estoy regalando el bug.

[MrPoor]

SMF no verifica que el referer sea correcto, si le dan un vistazo al código fuente verán que solo verifica que el referer no sea un enlace externo solamente, eso quiere decir que..... [censurado]

Que pasa al utilizar https://www.google.cl/ ? han visto live headers cuando hacen busquedas desde google?

Con esas dos pistas les estoy regalando el bug.

Ya que lo has dicho tú WHK,  a mi me extraña mucho que YoYa no lo consiga, si ya tiene el SC que es yo creo lo más difícil y lo que a mi me falta.

Yo he probado el formulario aislado que está en una página de este de este mismo hilo por otro usuario, estando conectado yo  al foro me cambia la firma.

Por lo que enviado un enlace a WHK o poniéndolo como avatar como ha hecho YoYa, con eso debería cambiar la firma.

Eso sí, si pongo la página con el formulario -dentro- de un servidor local o externo no funciona (envía referer y SMF lo detecta), pero si la pongo por ejemplo con un HTML simple, digamos en el escritorio entonces cambia la firma.

Creo que eso es lo que quieres decir.

Con esto al menos YoYa debería tener suficiente.

[MrPoor]

De hecho en mi firma se ven intentos del cambio de firma

[~ Yoya ~]

Hoy recién termine algo que podía ser con una chica jejeje, no porque mañana sea 14 jejejeje.

No he tenido tiempo para poder testear, desde mi ultimo post (11 de febrero). Mañana tratare de dedicarle 1-2h para ver si avanzo un poco xD.

Saludos y suerte a todos.

[zaphire]

PRUEBA

[WHK]

El GatoPollo les manda ánimo!

[p0is0n-123]

Probando...