[strona] www.tktbet.pl - bukmacherska strona Opcje

[mczlowiek]

witam,
strona praktycznie skończona, dlatego proszę o ocenę zarówno pod względem wizualnym jak i pod względem poprawności kodu i działania.

Z gory dziekuję za wszystkie uwagi, szczególnie te krytyczne!

Pozdrawiam!

Odwiedź moją stronę

Ten post edytował mczlowiek 10.07.2009, 10:37:54

[DawidPaszek]

w3c


http://validator.w3.org/check?uri=http%3A%...ine&group=0

http://jigsaw.w3.org/css-validator/validat...&lang=pl-PL



brak filtracji danych wejsciowych

http://www.tktbet.pl/index.php?id=typy&typy_id=--



wyszukiwarka ie6

http://www.tktbet.pl/index.php (wyszukiwarka w gornej czesci strony, schodzi pod top, w tlo sie laduje)


seo

- brak zmiany title oraz description dla podstron


wizualnie

- menu ktore jest rozwijane spod glownego gornego menu jest dla mnie nie widoczne

- " InLive! 2 visitors on the site. " brzydko wyglada


Pozatym strona jest ładna wizualnie.

Ten post edytował DawidPaszek 10.07.2009, 10:46:15

[mczlowiek]

w3c


http://validator.w3.org/check?uri=http%3A%...ine&group=0

http://jigsaw.w3.org/css-validator/validat...&lang=pl-PL



brak filtracji danych wejsciowych

http://www.tktbet.pl/index.php?id=typy&typy_id=--



wyszukiwarka ie6

http://www.tktbet.pl/index.php (wyszukiwarka w gornej czesci strony, schodzi pod top, w tlo sie laduje)


seo

- brak zmiany title oraz description dla podstron


wizualnie

- menu ktore jest rozwijane spod glownego gornego menu jest dla mnie nie widoczne

- " InLive! 2 visitors on the site. " brzydko wyglada


Pozatym strona jest ładna wizualnie.

brak filtracji danych wejsciowych - jak to uzyskać?
seo - jak wyżej
wyszukiwarka ie6 - nie wiem dokładnie o co chodzi (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

[Quantum]

No to tak, wizualnie mi się podoba, jedynie przycisk od wyszukiwarki google(ten niebieski) nie pasuje raczej do kolorystki strony.

Od strony kodowania, jedynie za menu na <ul> + (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) .. reszta = xhtml( 398 błędów + 170 ostrzeżeń ) + css( 13 błędów + 167 ostrzeżeń ) według w3c (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

[Kildyt]

Przecież był już jeden topic o tej stronie. Zmiany są aż tak generalne, że trzeba zakładać nowy topic?

Logotyp mi się nie podoba. Te ludziki z wykresem nic mi nie mówią, a sam napis jest zbyt prosty.
Generalnie są za małe padding'i.
Co do kodu to nawet ładnie. IMHO nie ma czegoś takiego jak puste alt-y.

[pyro]

1. Wyszukiwarkę można było własną zrobić
2. BRAK STOPKI!
3. podatnośc na SQL Injection

Kod

http://www.tktbet.pl/index.php?id=typy&typy_id=262%20and%201=0%20UNION%20SELECT%201,[CIACH! Wyciągłem kolumnę z loginem usera w razie jakby innych korciło;)],user_password,4,5,6,7,8,9,10,11,12,13,14,15%20FROM%20users%20LIMIT%201;--

I mamy ładnie podane login i hasło userów w postaci

[login] - [hasło]

Filtruj dane.

Ten post edytował pyro 10.07.2009, 11:21:24

[mczlowiek]

odp 3

możesz mi przesłać na prv cale zapytanie (bez wycinania) chce zobaczyć jak to wygląda oraz jak się można przed tym obronic?

Ten post edytował mczlowiek 10.07.2009, 11:39:27

[drake88]

Bardzo ładna strona.

[pyro]

odp 3

możesz mi przesłać na prv cale zapytanie (bez wycinania) chce zobaczyć jak to wygląda oraz jak się można przed tym obronic?

Wystarczy, że zamiast w miejsce [CIACH... blablabla] wstawisz kolumnę z loginem usera i otrzymasz na stronie postać jak podałem wyżej (hasło jest kodowane w md5, ale w dzisiejszych czasach można ich łamać kilka milionów na sekundę, więc to tylko kwestia czasu, żeby je złamać).

Zabezpieczenie? W tym przypadku przez parametr GET jest przesyłana dana liczbowa i w skrypcie też chcemy, żeby ona była liczbą, więc wystarczy rzutowanie typów, zajrzyj: intval" title="Zobacz w manualu PHP" target="_manual

[mczlowiek]

robię tak jak mówisz i nic mi się nie wyświetla...

[pyro]

Nadal nie podałem kolumny z loginem usera, zamiast tego wstawiłem liczbę:

Kod

http://www.tktbet.pl/index.php?id=typy&typy_id=262%20and%201=0%20UNION%20SELECT%201,2,user_password,4,5,6,7,8,9,10,11,12,13,14,15%20FROM%20users%20LIMIT%201;--

Wyświetli samo hasło

[mczlowiek]

ale gdzie ty to wklejasz? mi zawsze wyswietla sie pusta strona...

[pyro]

Do paska URL, ma w nim być taki ciąg.

[mczlowiek]

dokładnie tak robię i wyświetla mi sie pusta strona a w ie brak strony...

[pyro]

To robisz jakiś błąd ze swojej strony, osobiscie nie wiem jaki (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)

[Quantum]

http://www.tktbet.pl/index.php?id=../index

wynik:

Kod

<b>Fatal error</b>:  Cannot redeclare zamieniaj() (previously declared in /tktbetpl/domains/tktbetpl.twojhost.pl/public_html/index.php:168) in <b>/tktbetpl/domains/tktbetpl.twojhost.pl/public_html/index.php</b> on line <b>176</b>

ekhm.. tym sposobem mogę zaincludować jakikolwiek plik .php z jakiegokolwiek katalogu.. (IMG:http://forum.php.pl/style_emoticons/default/snitch.gif)

[DawidPaszek]

http://i29.tinypic.com/2qwo474.gif

Miłego dnia.

[pyro]

http://i29.tinypic.com/2qwo474.gif

Miłego dnia.

DawidPaszek, chciałeś się popisać czy co? Przez większość tematu mówię o tym autorowi tematu. Gratuluję, potrafiłeś wykorzystać gotowo podaną lukę z gotowym zapytaniem, które sam podałem. Ehh...

// edit (do autora)

Jeszcze zauważyłem, że jak się poda błędny login/hasło to przekierowuje na główną stronę bez niczego. Żadnego komunikatu, ani nic...

Ten post edytował pyro 10.07.2009, 16:03:25

[DawidPaszek]

DawidPaszek, chciałeś się popisać czy co? Przez większość tematu mówię o tym autorowi tematu. Gratuluję, potrafiłeś wykorzystać gotowo podaną lukę z gotowym zapytaniem, które sam podałem. Ehh...

Pyro,

Nie przejmuj się. Wszyscy wiedzą że to Ty znalazłeś tą lukę i nie przypisuje do siebie praw,
jego znalezienia. Podałem to tylko na obrazkach, które wizualizują to co napisałeś w słowach.
Grauluję z sukcesem przeprowadzenoj symulacji ataku sql.


Dawid Paszek.

[mczlowiek]

pomoż mi usunąc ten "pzypadek"

[pyro]

Pyro,

Nie przejmuj się. Wszyscy wiedzą że to Ty znalazłeś tą lukę i nie przypisuje do siebie praw,
jego znalezienia. Podałem to tylko na obrazkach, które wizualizują to co napisałeś w słowach.
Grauluję z sukcesem przeprowadzenoj symulacji ataku sql.


Dawid Paszek.

Ja się niczym nie przejmuję. O to bym się na Twoim miejscu nie martwił. Ale jak powiela się jakiś błąd na stronie i wyjaśnia go dokładnie autorowi strony, a na końcu dopisuje się ktoś z screenshotem jak to ładnie potrafi wkleić gotowe zapytania do paska URL to jest trochę irytujące.

Na tym proponuję skończyć ten off-topic i zająć się dalszą oceną strony.

pomoż mi usunąc ten "pzypadek"

@mczlowiek, zaglądałeś do posta, w którym wspominałem o intval" title="Zobacz w manualu PHP" target="_manual? (IMG:http://forum.php.pl/style_emoticons/default/worriedsmiley.gif)

[mczlowiek]

no wlasnie czytalem, ale nie weim jak to zastosować. podaj mi jakiś przykład (najlepiej z mojej stony) to to usunę i z resztą sobie poradze

z gory dziękuje

[pyro]

no wlasnie czytalem, ale nie weim jak to zastosować. podaj mi jakiś przykład (najlepiej z mojej stony) to to usunę i z resztą sobie poradze

z gory dziękuje

Stosuje się ją tak samo jak inne funkcje zwracające jakąś wartość o_O

[PHP] pobierz, plaintext 
<?php
// przykład
$id = intval($_GET['id']);
?>
[PHP] pobierz, plaintext 

[mczlowiek]

więc jak mam np tak:

$id = intval($_GET['id']);

select ..... where id='$_GET['id']'....

....where id='$id"

?

[pyro]

więc jak mam np tak:

$id = intval($_GET['id']);

select ..... where id='$_GET['id']'....

....where id='$id"

?

Jeżeli dobrze zrozumiałem:

[PHP] pobierz, plaintext 
<?php
// ... to ma być tak (zabezpieczone): 
$id = intval($_GET['id']);
$result = mysql_query('SELECT .... WHERE id = '.$id); // teraz będzie liczbą
?>
[PHP] pobierz, plaintext 

[mczlowiek]

i jezeli we wszystkich zapytaniach tak zobie, to strona bedzie juz w pełni bezpieczna czy gdzies jeszcze mozna znalezc "luki"?

[pyro]

Hehe, można. W dziale przeszkole lub PHP jest cały temat poświęcony SQL Injection. Co do innych luk na Twojej stronie przeczytaj ten post: http://forum.php.pl/index.php?showtopic=12...st&p=632283

[mczlowiek]

no czytam, ale co to da komuś, że zaincluduje jakikolwiek plik? jak tego uniknac?

[pyro]

no czytam, ale co to da komuś, że zaincluduje jakikolwiek plik? jak tego uniknac?

Jeżeli to zrobi w odpowiedni sposób (jeśli takowy będzie możliwy) to na przykład hmm... może zyskać 100% dostępu do Twojej strony (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) ? Zabezpieczenie się nie jest trudne, ale to też nie jest kilka zdań jak to zrobić, dlatego odsyłam Cię do google pod frazę `Local File Inclusion`

[mczlowiek]

dziękuje!
jak coś mogę uderzyć na prv?

[pyro]

dziękuje!
jak coś mogę uderzyć na prv?

Nie, pisz w temacie (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)

[mczlowiek]

Za pomocą poniższego kodu wyświetlam sobie artykuł o podanym id.

[PHP] pobierz, plaintext 
<?php
if ($_GET['artykul_id']) {
...
}
?>
[PHP] pobierz, plaintext 

Czy aby zabezpieczyć się przed nieproszonymi goścmi wystarczy że uzyję funkcji is_numeric?
Czy może lepiej uzyć jakiejś innej, lepszej ?

Czy takie rozwiązanie jest w pełni bezpieczne:

[PHP] pobierz, plaintext 
<?php
$artykul_id = strip_tags($_GET['artykul_id']);
       if (!is_numeric($artykul_id)) {
..komuniikat o bledzie...
} else {
...wlasciwa tresc strony..}
?>
[PHP] pobierz, plaintext 

Ten post edytował mczlowiek 4.08.2009, 12:47:24

[nospor]

najprosciej to zrzutowac na int i po sprawie

[PHP] pobierz, plaintext 
<?php
$artykul_id = (int)$_GET['artykul_id'];
?>
[PHP] pobierz, plaintext 

Jak ktos ci zapoda teksta to dostaniesz w wyniku 0

edit: kurcze, przeciez pare postow wyzej dostales odpowiedź..... intval