Skip to content
KitploitKITPLOIT
ИнструментыБлог
Отправить
ИнструментыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

··Ленты·Контакты·Конфиденциальность·© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
CVE-2018-6905 — typo3 install.php XSS | Kitploit
Инструменты/GitHubGitHub/dnr6419/cve-2018-6905
Анализ уязвимостейЭксплуатацияЭксплуатация веб-приложенийТестирование на ПроникновениеОбучение и Образование
GitHubdnr6419/cve-2018-6905

CVE-2018-6905

typo3 install.php XSS

Репозиторий
5 лет назадЕщё не проверено

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

Порядок установки и запуска

0. Установка type3

root@kitploit:~
 $docker-compose up

1. Запуск и установка веб-сервера typo3

Перейдите по адресу http://[web-server ip]:port/typo3 и проигнорируйте следующие сообщения.

root@kitploit:~
 Directory / is not writable
Path /var/www/html/typo3 exists, but no file underneath it can be created.

2. Установка typo3

Зайдите на сайт typo3, размещённый в контейнере, и выполните установку. Хост mysql db — db.

3. XSS-инъекция в typo3

На этапе 4/5 в процессе установки введите XSS-пейлоад в поле site name. image

4. Выполнение XSS

После завершения установки и входа в систему вы увидите, что XSS выполняется, как показано ниже. image

Ошибки при развёртывании

Чтобы автоматизировать несколько вопросов, которые debconf задаёт в CLI, как показано ниже, я установил и изменил debconf-utils.
root@kitploit:~
debconf: unable to initialize frontend: Readline
debconf: (This frontend requires a controlling tty.)
debconf: falling back to frontend: Teletype
root@kitploit:~
RUN apt-get install -y debconf-utils
RUN echo 'debconf debconf/frontend select Noninteractive' | debconf-set-selections
RUN apt-get install -y -q [package]

Из-за особенностей сервера apache2, работающего от пользователя www-data, папка typo3 была создана от имени www-data.

Совместимые версии БД перечислены ниже.

Версия mysql image установлена на 5.8.

root@kitploit:~
System Requirements 
For more information as well as installation instructions see the Installation guide.
Operating System	Linux, Windows or Mac, or common cloud infrastructure setups
Webserver	Apache httpd, Nginx, Microsoft IIS, Caddy Server
Supported Browsers	Chrome (latest)
Edge (latest)
Firefox (latest)
Internet Explorer >= 11
Safari (latest)
Database	MariaDB >= 10.0 <= 10.3
Microsoft SQL Server
MySQL >= 5.0 <= 5.7
PostgreSQL
SQLite
Hardware	RAM >= 256 MB
PHP	PHP >= 7.2 <= 7.4
Проблема с character-set в mysql.

В контейнере mysql были заданы параметры command.

root@kitploit:~
Invalid Charset
Your database uses character set "latin1", but only "utf8" is supported with TYPO3. You probably want to change this before proceeding.
Скачать инструмент