Ceyhan Belediyesi Pentest

Adana Ceyhan Belediyesi Pentest

Belediye ve gov tararken rasgeldi şifreyi kıramadım kendileri oluşturmuş sanırım.
açığı bildirdim ve kapatıldı kapatıldıgına göre bunu yayınlamamın bi mahsuru yoktur
umarım.

Açıgın oluştugu link:

http://www.ceyhan.bel.tr/haberler?id=3095%27

Sql syntax veya herhangi bi hata göremiyorum diyenler için haberlerden birine tıklayın
linkin sonundaki id ye bi tırnak atın haber bölümündeki açıklama yerinde
kırık resim linki olucak hata orada suan açık kapatıldı gerçi onu göremezsiniz ama
yinede atayım dedim kolay gelsin.

kadi                          sifre                             yetki

alivre  f4afed1e4c5564ba798bf938891275c6  Adminstrator

son kontrollerimden sonra 4 açık daha buldum onları da bir ekliyeyim açıkları ben tekrar
bildirdim onlar kapatana kadar burda gizlerim.

2. XSS

XSS i E-belediye sisteminde buldum ayrı bi ip şeklinde ayarlamışlar onuda bu exploit gibi bişi oldu
çünkü e-belediye sistemini yapan firma belediye sitelerine yapıyor o sistemi sadece ve bütün
belediyeler kullanıyor.





XSS'in oluştuğu yer; http://212.156.78.130:8898/borcsorgulama.belsoft

Aşağıda verdiğim koddaki "EKRANA YANSIMASINI İSTEDİĞİNİZ ŞEYİ YAZIN"
yazan yere ekrana yansımasını istediğin herhangi birşeyi yazın. Sayfanın dört bir
yanına yansıyacaktır yani şöyle


Code:
'"></title><script>alert(666) </script>><marquee><h1><a href="http://www.swhx666.top">EKRANA YANSIMASINI İSTEDİĞİNİZ ŞEYİ YAZIN</a></h1></marquee>

3. Meta

bu baya bi değişik birşey oldu meta kodunu borç
sorgulamadaki arama bölümüne yapıştırınca
sol ss deki gibi oluyor. Site beni banlamıyor
bunu yaparken bi kaç arkadaşımı siteye girdirdim onlardada aynı beyaz ekran pek
önemli birşey değil ama bunu da yazayım dedim
bu meta kodunu programla siteye 10 dakikada
bir yazdırırsak site kullanılamaz hale gelir,
borç sorgulama sistemi kullanılamaz yani
herneyse meta yı atayım sizde deneyin
o arama yerine meta kodu yapış