[www] www.you-ebook.pl, wydawnictwo ebooków Opcje

[beatou]

Witam!

Niedługo ruszy wydawnictwo internetowe www.you-ebook.pl Chciałbym zaprosić wszystkich do testowania wersji beta serwisu. Osoby zainteresowane testowaniem będą miały do przeprowadzenia kilka scenariuszy potencjalnych zadań użytkownika na stronie. Będą to głownie scenariusze wydawania książki, stworzenie konta, aktywacja profilu autora, kupno książki itp. Osoba testująca która prześle raport i ewentualne uwagi dostanie od nas bonus na start (punkty lub dogodne warunki umowy - w zależności od jakości testu) w serwisie you-ebook.pl. Wersja beta zostanie zresetowana przed wydaniem wersji finalnej dlatego aby uzyskać wspomniane profity będzie trzeba założyć nowe konta na wersji finalnej. Mając raporty i dane użytkowników będziemy wiedzieli kogo nagrodzić. Nie ma więc obaw że ktokolwiek zostanie pominięty.

Zapisy do testów przyjmujemy na adres biuro@you-ebook.pl

Jeśli ktoś po prostu chce się rozejrzeć po serwisie bez uczestnictwa w testach to chętnie prześlę login i hasło do wersji beta.

Ten post edytował beatou 28.07.2009, 11:08:20

[blooregard]

możesz rozwinąć myśl?

Nie wyłączyłeś raportowania błędów.
Pozwalasz, by bezpośrednio do zapytania był wklejany apostrof (wklejasz to, co jest w url-u bezpośrednio do zapytania).
Powoduje to wyświetlenie komunikatu, w którym podana jest m.in. nazwa tabeli i nazwy kolumn (wystarczy kliknąć w link, który podałem, aby się o tym przekonać)
To są podstawowe błędy związane z bezpieczeńswtem aplikacji webowej.
Wiem, że używasz PDO, które raczej jest odporne na próby np. SQL Injection, ale mimo tego taka sytuacja, jak ta podana jako przykład nie powinna się przytrafić na stronie, która ma cokolwiek współnego z operacjami finansowymi (sprzedaż przez internet tym bardziej), bo to podważa zaufanie klientów.

Mam rozwijać dalej?

Ten post edytował blooregard 2.09.2009, 12:51:44