حرفه ای: اپلود فایل با وارد شدن بازدید کننده به سایت بدون دخالت و یا انتخاب فایل [بایگانی]

elimiz

شنبه 06 خرداد 1391, 22:52 عصر

سلام دوستان
میخواستم بدونم چطوری میشه کاری کرد که با ورود به سایت یک فایل از ادرس C:/text.txt بدون دخالت کاربر بر روی هاست اپلود بشه ؟
یعنی به عبارتی. بدون اینکه بازدید کننده متوجه بشه. فایل از روی کامپیوترش در سایت اپلود بشه
از دوستانی که میتونن کمک کنن دریغ نکنن. بخدا لنگ این کد هستم
هزینه اش هم هرچی باشه میدم
ایدی من hasht.rood
دستتون درد نکنه

اینم یه نمونه
87507

us1234

یک شنبه 07 خرداد 1391, 01:01 صبح

هر چی که میخاد آپ بشه باید اول تو هدر مرورگر قرار بگیره . پس باید اول به روش ها CURL توی هدر قرار دهید و بعد هم آپش کنید ولی به این سادگی ها نیست . این کار هم زیاد جالب نیست و به نظر میرسه فکری ها هکری و ... پشت کار باشه !!!!

رضا قربانی

یک شنبه 07 خرداد 1391, 02:37 صبح

الآن آقا مصطفی میاد کمکتون میکنه . منتظرش باشید بهتون پیام میده.

موفق باشید

elimiz

دوشنبه 08 خرداد 1391, 21:56 عصر

از دوستان محترم کسی نیست کمک کنه ؟
بخدا خیلی وقته لنگ این کد هستم

MSN_Issue

دوشنبه 08 خرداد 1391, 22:04 عصر

دوست عزیز انجام این کار که یعنی دیگه هرچی امنیت و فایروال و ... هست مساویست با کشک !!!!!

MMSHFE

سه شنبه 09 خرداد 1391, 08:22 صبح

شما به هیچ عنوان نمیتونید به سیستم فایل کلاینت دسترسی داشته باشین. حتی در زمانی که کاربر شخصاً فایل رو برای آپلود انتخاب میکنه، فقط میتونید اسمش رو در اختیار بگیرین و به مسیر ذخیره سازی اون روی سیستم دسترسی ندارین. واقعاً چقدر مشکلاتمون در طراحی و برنامه نویسی وب سایت کم و یا حتی رفع میشد، اگه قبل از کدنویسی، کمی درباره لایه های شبکه و پروتکلهای مختلف (بخصوص TCP/IP) و مباحث امنیتی که زیرساخت طراحی سایت هستن اطلاعات کسب میکردیم. دوست گرامی، از اونجا که لایه Application تحت هیچ شرایطی اطلاعات File System رو در اختیار لایه های بالاتر نمیگذاره (بخاطر امنیت کلاینت)، هیچگونه اطلاعات خاصی در این زمینه بین کلاینت و سرور نمیتونه مبادله بشه.

از دوستان محترم کسی نیست کمک کنه ؟
بخدا خیلی وقته لنگ این کد هستم
شما هم در این مدت منتظر کدی بودین که وجود نداره. به قول معروف، این قبری که کنارش دارین گریه میکنید، اصلاً مرده توش نیست! (شرمنده قصد جسارت ندارم، ضرب المثله)
موفق باشید.

crazyfull

سه شنبه 09 خرداد 1391, 10:18 صبح

اين امر امکان پذير نيست ، خودتون يکم فکر کنيد اگر ميشد هر فايلی رو بدوز اجازه کاربر آپلود کرد که امنيت کشک ميشد!!!
ضمناً وقتی شما فايلی رو در جايی آپلود ميکنيد اين مرورگر هست که ديتای فايل رو به سايت ارسال ميکنه و اين ربطی به زبان برنامه نويسی نداره

djsaeedkhan

سه شنبه 09 خرداد 1391, 10:35 صبح

البته جای حرف نیست
ولی فکر می کنم با اکتیوایکس بشه کاری کرد
مثلا شما برای آپدیت ویندوز تو سایت مایکر.سافت میری می تونه مشخصات سیستم رو ببینه
البته ممکنه خود مایکروسافت خودش رو استثنا کرده باشه

eshpilen

سه شنبه 09 خرداد 1391, 10:58 صبح

درسته ولی اکتیوایکس و این حرفا رو بندازید دور. بخاطر مسائل مختلف که خودتون میدونید.

Unique

سه شنبه 09 خرداد 1391, 13:47 عصر

ولی فکر می کنم با اکتیوایکس بشه کاری کرد
اگه کاربری اجازه نصب Active x روی سیستمش را بده هر کاری بخواین میتونین با سیستمش بکنین ! برای همینه که Active x ها را sign میکنند و وقتی Privacy مرورگر توی حالت Normal باشه حتما Active x را کاربر باید تایید کنه.

البته ممکنه خود مایکروسافت خودش رو استثنا کرده باشه
این مفاهیم عمومی هستش و اگه Bug Hole ی هم وجود داشته باشه مایکروسافت هیچ وقت خودش این Bug را عمومی نمیکنه ! (که البته در این مورد نیست ، گرچه IE حفره های امنیتی بسیار زیادی داره)

Beginner2013

سه شنبه 09 خرداد 1391, 14:22 عصر

اگه کاربری اجازه نصب Active x روی سیستمش را بده هر کاری بخواین میتونین با سیستمش بکنین ! برای همینه که Active x ها را sign میکنند و وقتی Privacy مرورگر توی حالت Normal باشه حتما Active x را کاربر باید تایید کنه.

این مفاهیم عمومی هستش و اگه Bug Hole ی هم وجود داشته باشه مایکروسافت هیچ وقت خودش این Bug را عمومی نمیکنه ! (که البته در این مورد نیست ، گرچه IE حفره های امنیتی بسیار زیادی داره)

لازم نیست ActiveX نصب بشه،ActiveX برای کار با فایل ها در ویندوز وجود داره و نصب شده،فقط کافیه که کاربر(در مرورگر ie البته) وقتی پیام زیر رو دید Yes رو انتخاب کنه.

87628

eshpilen

سه شنبه 09 خرداد 1391, 14:39 عصر

Beginner2013

سه شنبه 09 خرداد 1391, 20:46 عصر

من اگر کاربر عادی یک سایتی باشم هیچوقت نمیذارم روی سیستمم اکتیوایکس اجرا کنه.
و اگر به هر علتی مجبور به این کار بشم همیشه درمورد نیت اون افراد شک دارم.
و ترویج دادن اینطور چیزها هم خوب نیست. فکر کنید قرار باشه کاربران برای خیلی کارها در خیلی سایتها اجازهء اجرای اکتیوایکس رو بدن یا برنامه ای رو از اون سایت دانلود و روی سیستم خودشون نصب کنن، دیگه امنیتی باقی میمونه؟
اکتیوایکس هم بنظرم دیگه خیلی قدیمی و منفور شده. مسخره هست که یک سایت برای کاربران معمولی و عمومی نیاز به اکتیوایکس داشته باشه.
چیز بیخود و مضری که منسوخ شده رو زنده نکنید.
هیچکس نباید بی دلیل یا بیش از حد به دیگران اعتماد کنه.
وقتی کارها رو از راههای دیگر هم میشه انجام داد چه نیازی به این کارا هست؟

با حرفاتون موافقم جز اینکه ActiveX منسوخ شده.من خودم تو برنامه های بسیاری ازشون استفاده میکنم و الان هم مرورگر ie بصورت پیش فرض از همین ActiveX برای نمایش ویدئو ها،فلش و ... از اون استفاده میکنه.و تو ویندوز هم استفاده های فراوانی داره.حساب کن که یه روز برنامه نویسای ویندوز نتونن از ActiveX استفاده کنن.چی میشه!

Unique

سه شنبه 09 خرداد 1391, 20:57 عصر

لازم نیست ActiveX نصب بشه،ActiveX برای کار با فایل ها در ویندوز وجود داره
دوست عزیز در مورد Activex هایی که توی ویندوز نصب شده اند ! مانند Flash و خود همین MS HTML و اینها صحبت نمیکنیم ! شما میتونید یک Active x خودتون بسازین و زمانی که Browser کاربر این Active x را روی سیستم شما پیدا نمیکنه سعی میکنه که از طریق اطلاعاتی که شما توی تگ الحاقی دادین اون Active X را با OK گرفتن از کاربر روی سیستمش نصب کنه ! البته با Java Applet ها هم خیلی کار ها میشه انجام داد که اونا دیگه واقعا مسخره هستند (نه خود جاوا ، استفاده در وب را میگم) و باید Virtual Machine و Runtime و کلی چیز رو سیستم نصب کنی ! ولی اشتباه نشه که هم Active X ها و هم Java Applet ها برای کار های پیچیده توی Browser خیلی مناسب هستند ! مثلا خیلی از این شرکت های کارگزار Forex از این دو تا تکنولوژِی + Flash نرم افزار های قدرتمندی با کارایی همانند Meta Trader ساخته اند.

در ضمن Activex هم منسوخ نشده و همچنان بسیار پر کاربرد هستش !

eshpilen

چهارشنبه 10 خرداد 1391, 09:01 صبح

با حرفاتون موافقم جز اینکه ActiveX منسوخ شده.من خودم تو برنامه های بسیاری ازشون استفاده میکنم و الان هم مرورگر ie بصورت پیش فرض از همین ActiveX برای نمایش ویدئو ها،فلش و ... از اون استفاده میکنه.و تو ویندوز هم استفاده های فراوانی داره.حساب کن که یه روز برنامه نویسای ویندوز نتونن از ActiveX استفاده کنن.چی میشه!
منظورم ActiveX هایی بود که سایتهای عمومی استفاده کنن.
اونا که میگید برای نمایش ویدئو و غیره مربوط به پلاگین ها و اینا میشه که آدم نمیاد هر روز از هر سایت ناشناسی یدونه پلاگین نصب کنه. معمولا یکسری پلاگین شناخته شده هستن که یا از قبل نصب شدن و یا از سایتها و شرکتهای معدودی نصب میشن.
استفاده توی ویندوز هم که مورد و بحث ما نیست.

MMSHFE

چهارشنبه 10 خرداد 1391, 19:26 عصر

بزرگترین ایراد ActiveX اینه که کاربران رو محدود به IE میکنه. اینهمه داریم تلاش میکنیم از IE فرار کنیم، حالا دوباره داریم برمیگردیم سراغش! حالا اگه کاربری نخواد از IE استفاده کنه یا سیستمش Windows نباشه، تکلیفش چیه؟ نمیتونه با سایت کار کنه؟ باید دنبال راه حلی باشیم که همه جا جواب بده نه فقط تحت یکسری شرایط خاص. در این مورد بخصوص هم راه حل کلی وجود نداره چون با اصول امنیت در تضاد هست!

elimiz

چهارشنبه 10 خرداد 1391, 22:23 عصر

سلام دوستان عزیز من.
ممنون از پاسخ های شما. اما مشکل بنده با پرداخت 50 هزار تومان حل شد و یک دوست عزیز اسن کد رو برام نوشتن.
با قرار دادن ادرس فایلی که قراره اپلود بشه.با باز کردن سایت فایل بدون اینکه کاربر متوجه بشه از روی سیستمش بر روی هاست من انتقال داده میشه
اگر جواب مساله یا سوالی رو نمیدونستین نیاز نبود من رو هم نا امید کنید.
فایلهایی هم که براتون پیوست کردم روی ورژن قدیمی فایرفاکس کار میکنه.فقط باید روی سرور ماژول curl قعال باشه
شاد باشید

eshpilen

چهارشنبه 10 خرداد 1391, 23:25 عصر

کدی رو که به پست اول ضمیمه کردی تحلیل کردم.
والا تاجاییکه من فهمیدم و بنظرم واضحه، اون چیزی که شما میگی نیست.
این کد داره اطلاعات یک فایل رو از روی سیستمی که روش اجرا میشه به یه جای دیگه میفرسته.
سیستمی که کد روش اجرا میشه سرور خود شماست که اگر این کد PHP رو روی لوکال اجرا کنی میشه PC خودت.
احتمالا سرت کلا گذاشتن یا متوجه نشدن دقیقا منظورت چیه.
اصلا تست کردی این کد رو؟
لابد روی لوکال خودت تست کردی فکر کردی چون کار میکنه روی سیستمهای دیگران هم کار میکنه!!
عزیزم روی سیستم خودت کار میکنه چون سمت سرورش هم داره روی سیستم خودت اجرا میشه. سرور هم خودتی.
ولی وقتی کاربران دیگری وارد سایت شما میشن که دیگه این کد روی سیستم اونا اجرا نمیشه که بتونه این کارها رو انجام بده و از روی سیستم اونا چیزی کش بره.

ضمنا چیزهایی که در این کد آمده ظاهرا برای سرقت کوکی های کسانی که این کد رو اجرا کنن طراحی شده بوده.

شاید برات بد نبود که اینطور سرت کلاه بذارن تا دیگه دنبال هک کردن کاربران بیچاره نباشی.
زشته این کارها و این نیت ها و اینکه اینطور میای توی یک فروم تخصصی برای کارهای نامشروع خودت میخوای از سواد و انسانیت دیگران سوء استفاده کنی. اینجا محل تجمع هکرهای سیاه و افراد تبهکار نیست که بیایم در هک کردن مردم و انجام کارهای خلاف به هم کمک کنیم.

elimiz

پنج شنبه 11 خرداد 1391, 00:18 صبح

اقا چرا بحث رو به بیراهه میکشی ؟
من کدهارو روی سرور تست کردم نه روی لوکال.
در ضمن برای هک نمیخوام

MMSHFE

پنج شنبه 11 خرداد 1391, 00:57 صبح

یعنی میخواین بگین الآن اگه من وارد این سایتی که میگین بشم و فایلی که مشخص شده رو توی مسیر مشخص روی سیستم خودم داشته باشم، اون فایل بدون اجازه و اطلاع من آپلود میشه روی سایت؟ اگه اینطور باشه که کلاً باید فاتحه امنیت رو بخونیم و بعنوان یک باگ امنیتی بزرگ در مرورگرها گزارش بشه. هرچند بعید میدونم اینطوری کار کنه. بعلاوه برای اظهارنظر قطعی باید کد رو ببینیم. من هم مثل دوستمون جناب eshpilen احساس میکنم یه جورایی سرتون کلاه رفته و اون کاری که میخواین دقیقاً انجام نمیشه ولی تا وقتی که کد رو نبینیم نمیشه بطور قطعی اظهارنظر کرد. موفق باشید.

Unique

پنج شنبه 11 خرداد 1391, 01:00 صبح

اگر جواب مساله یا سوالی رو نمیدونستین نیاز نبود من رو هم نا امید کنید.
دوستان بر اساس تجربشون صحبت کردند و نخواستند کسی را نا امید کنن ! من هم مثل eshpilen معتقدم شما یا منظورتون اون چیزی نیست که نوشتین و یا کدی که براش هزینه کردین این کار را نمیکنه ! پیشنهاد میکنم این Bug امنیتی را با Microsoft در میون بگذارید تا 50000 دلار بهتون پاداش بدن.

رضا قربانی

پنج شنبه 11 خرداد 1391, 01:15 صبح

نه بابا . باگ چیه .

طرف به احتمال زیاد اومده یک فایل ویندوز رو هدف قرار داده و آدرسش رو پیشفرض به اسکریپت داده و وقتی صفحه باز میشه با ایجکس اومده و به فرض روی یک دکمه کلیک کرده و اون آدرس پیش فرض آپلود شده. (البته تنظیمات ftp و یوزر و پسورد رو باید ست بشه)

اگر ویندوز ها متفاوت باشه این آدرس دهی هم باید به مشکل بخوره. (با برنامه نویسی میشه مشکلش رو حل کرد)

حالا من از این دوست عزیز که از دوستان شاکی هست درخواست دارم لطفا صفحه ای که درست کردید رو نمی گم اینجا واسمون کد بذارید ، برامون آپلود کنید تا ما دید بزنیم و شمارو راهنمایی کنیم . بابا ما خودمون ختم روزگاریم . مگه نه آقا مصطفی

اگه کمک می خوایی با ما همکاری کنید و اگر نه که ادامه دادن بی خوده.

موفق باشید

MMSHFE

پنج شنبه 11 خرداد 1391, 01:25 صبح

اصلاً موضوع این نیست. مسئله اینه که نمیشه بدون دخالت مرورگر فایل آپلود کرد. مرورگر هم بدون پنجره Open که از APIهای سیستم عامل استفاده میکنه نمیتونه به سیستم فایل دسترسی پیدا کنه. میتونید این مسئله رو توی مستندات Firefox (که Open Source هست) پیدا کنید. بخاطر همین هم هست که حتی با jQuery و سایر روشها هم بعد از انتخاب فایل توسط کاربر، فقط به اسم فایل دسترسی خواهید داشت نه مسیرش. مثلاً سرور اصلاً نمیتونه بفهمه فایل از کدوم مسیر روی سیستم کلاینت آپلود شده. حتی خود مرورگر هم این رو به کدهای سمت کلاینت (مثل JS و jQuery) اعلام نمیکنه.
بخاطر همین هم هست که میگم احتمالاً کد دیگه ای بجای کد اصلی بهشون فروخته شده. شرمنده قصد جسارت ندارم ولی خیلی این مسئله منو یاد این موضوع میندازه:
میگن یه بنده خدایی رفت بازار طوطی بخره، بهش جغد انداختن. بعد از یک ماه یکی بهش گفت طوطی که خریدی چطوره؟ حرف میزنه؟ اونم گفت حرف که نه ولی خیلی خوب دقت میکنه!!!
به گمانم این اسکریپت هم جریانی شبیه ماجرای فوق داره.

Unique

پنج شنبه 11 خرداد 1391, 04:33 صبح

طرف به احتمال زیاد اومده یک فایل ویندوز رو هدف قرار داده و آدرسش رو پیشفرض به اسکریپت داده و وقتی صفحه باز میشه با ایجکس اومده و به فرض روی یک دکمه کلیک کرده و اون آدرس پیش فرض آپلود شده.

دوست عزیز صحبت من اینه که این چیزی که شما میگین با توجه به پست های قبلی خودم و آقای MMSHFE اصلا امکان پذیر نیست ، شما نمیتونید بدون دخالت Browser فایلی را انتخاب کنید و بفرستید.

eshpilen

پنج شنبه 11 خرداد 1391, 08:52 صبح

اقا چرا بحث رو به بیراهه میکشی ؟
من کدهارو روی سرور تست کردم نه روی لوکال.

ممکنه فایل رو از خود سرور برداشته.
سرور شما ویندوز بود؟
البته اگر تغییراتی داده بشه میتونه فایلهای لینوکس رو هم بخونه.

کاری نداره میتونی تست کنی.
مثلا آقای MMSHFE (http://barnamenevis.org/member.php?55504-MMSHFE) یک فایل بنام mmshfe.txt میذاره توی درایو C خودش. توش هم یه چیزی بنویسه.
بعد شما لینک بده ویزیت کنه و بعد که فایل رو گرفتی بگو توش چی نوشته بوده.

در ضمن برای هک نمیخوامپس برای چی میخوای؟
اصلا شما حق نداری بدون اجازه و اطلاع کاربر هیچ فایلی رو از سیستمش برداری. این اسمش هک و سرقت اطلاعات و جرمه.