Witaj Gościu! ( Zaloguj | Rejestruj )

Forum PHP.pl

> [PHP] Prawidłowy kod, Czyli strona kaput znów
materkamil
post
Post #1





Grupa: Zarejestrowani
Postów: 188
Pomógł: 0
Dołączył: 24.04.2012

Ostrzeżenie: (0%)
-----

Wściekłem się i zrobiłem tak: http://astrouniverse.netii.net/
No i nowa strona dalej rozwalona!
http://www.astrohosting.web44.net/

I teraz wytłumaczę jak zrobiłem tą stronkę:

zrobiłem na stronie głównej formularz do przesyłania hasła do skryptu.

if (hasło poprawne) {
pokaż formularz do przesyłania plików
}
else
{
}

Jednak ten "ktoś" przesłał pliki, a ja nie wiem jakim cudem. Oto kody strony dzięki której pokazuje się formularz:

[PHP] pobierz, plaintext 
  1. <body background=omega.jpg>
  2. <?
  3. $tagizyja = $_POST["haslo"];
  4. $tagikaput = strip_tags($tagizyja);
  5. if($tagikaput == "tego nie powiem") { // TUTAJ WYŚWIETLA SIĘ TEN FORMULARZ PRZESYŁANIA PLIKÓW
  6. echo("<center><font size=6 color=blue face=arial>Upload plików forum <a href=http://www.astrouniverse.pl>ASTROUNIVERSE</a></font><br><br><font size=4 color=Navy>Przypominam że na ten serwer ze względów bezpieczeństwa można przesyłać jedynie pliki z rozszerzeniem: jpg oraz gif. Wykonanie strony <b>materkamil</b><br></font>
  7. <br><form enctype=multipart/form-data action=tu jest jakis plik ale nie powiem nazwy.php method=POST>
  8. <input type=hidden name=MAX_FILE_SIZE value=5000000 />
  9. <input name=plik type=file />
  10. <input type=submit value=Wyslij plik />
  11. </form><br><br><a href=tego tez nie powiem.php>Panel Administratora</a> ");
  12. }
  13. else
  14. {
  15. 	if(empty($tagikaput)) {
  16. 		echo("<center><font size=5>Dlaczego nic nie wpisałes?</font>");
  17.  
  18. 	}
  19. 	else
  20. 	{
  21.  
  22. echo("<center><font size=5>Wpisane przez ciebie hasło <b>$tagikaput</b> jest nieprawidłowe</font>");
  23. 	}
  24. }
  25. ?>
[PHP] pobierz, plaintext


Nie mam pojęcia jak przesłał te pliki? Przecież do przesłania trzeba.
Go to the top of the page
+Quote Post
 
 Start new topic
Odpowiedzi
materkamil
post
Post #2





Grupa: Zarejestrowani
Postów: 188
Pomógł: 0
Dołączył: 24.04.2012

Ostrzeżenie: (0%)
-----

Cytat
-nie kodujesz haseł, ktoś patrzy w źródło pliku *.php i juz zna


Jak ktoś patrzy? Nie można zobaczyć źródła pliku *.php? Jakim cudem je widzicie?
http://forum.php.pl/index.php?showtopic=54514

Cytat
- brak sesji, wystarczy wysłać POSTem informacje do pliku który nazywał się wcześniej w stylu "dodaj.php"


Skąd macie nazwę pliku? Przecież można ją zobaczyć jedynie w PA do którego nie da się dostać bo jest if, czyli wpisujesz hasło i ok.

Cytat
- cały czas prowokujesz, pisząc głupoty


Wydaje mi się że te zabezpieczenia są nie do przejścia, bez jakiejś "nieczystej" gry np: jeśli ktoś z tych userów, co jest włamywaczem to admin hostingu UGU i wtedy widzi pliki.

Cytat
- do tego słabe hasła, mam nadzieję, że ten cytat trochę Ci wyjaśni o co mi chodzi


Niektórzy nasi użytkownicy mają problem z pisaniem cyfr na klawiaturze, nie wspominając znaków specjalnych

Cytat
Zgadnij skąd to mam


Nie zgadnę? Jakim cudem dostałeś się do działu na forum zablokowanego?

Ten post edytował materkamil 29.04.2012, 09:54:05
Go to the top of the page
+Quote Post
!*!
post
Post #3





Grupa: Zarejestrowani
Postów: 4 298
Pomógł: 447
Dołączył: 16.11.2006

Ostrzeżenie: (0%)
-----

Cytat(materkamil @ 29.04.2012, 10:24:58 ) *
Jak ktoś patrzy? Nie można zobaczyć źródła pliku *.php? Jakim cudem je widzicie?


Pierwsza wersja "ataku" pozwalała na to, był nieograniczony dostęp do serwera FTP. Poza tym sam pokazałeś Nam źródła, pamiętasz?

Cytat(materkamil @ 29.04.2012, 10:24:58 ) *
Skąd macie nazwę pliku? Przecież można ją zobaczyć jedynie w PA do którego nie da się dostać bo jest if, czyli wpisujesz hasło i ok.


Patrz wyżej, ale skoro to "załatałeś" to nie postarałeś się żeby wgrać pliki i nazwa byłą ta sama lub podobna. Wystarczyło wgrać swój plik który wyświetlał nazwę wszystkich plików, a później sam siebie kasował.

Cytat(materkamil @ 29.04.2012, 10:24:58 ) *
Wydaje mi się że te zabezpieczenia są nie do przejścia, bez jakiejś "nieczystej" gry np: jeśli ktoś z tych userów, co jest włamywaczem to admin hostingu UGU i wtedy widzi pliki.


Głosisz herezje, nie ma zabezpieczeń nie do obejścia, już Ci to pisałem.

Cytat(materkamil @ 29.04.2012, 10:24:58 ) *
Nie zgadnę? Jakim cudem dostałeś się do działu na forum zablokowanego?


Zgadł hasło? (IMG:style_emoticons/default/biggrin.gif) Lub się zarejestrował, pogadał, popraosił itd.

Ten post edytował !*! 29.04.2012, 10:06:43
Go to the top of the page
+Quote Post

Posty w temacie
- materkamil   [PHP] Prawidłowy kod   28.04.2012, 14:23:55
- - !*!   1. musisz sprawdzić czy formularz został wysłany 2...   28.04.2012, 14:41:51
- - materkamil   OK. Widzę że zawaliłem z tymi 6 punktami twoimi. Z...   28.04.2012, 14:50:36
|- - !*!   Cytat(materkamil @ 28.04.2012, 15:50...   28.04.2012, 15:25:55
- - materkamil   I własnie problem jest większy. Nie ma "tego ...   28.04.2012, 15:38:41
- - lobopol   1. Masz dziurawy skrypt pozwalający się zalogować ...   28.04.2012, 17:05:31
- - Substr   To ja Ci może trochę naświetle problem, bawiłem si...   28.04.2012, 22:19:15
- - materkamil   Cytat-nie kodujesz haseł, ktoś patrzy w źródło pli...   29.04.2012, 09:24:58
|- - !*!   Cytat(materkamil @ 29.04.2012, 10:24...   29.04.2012, 10:05:37
- - materkamil   1. Ale on napisał o hasłach w źródle skryptu, któr...   29.04.2012, 10:17:41
- - !*!   CytatTo hakerzy to zgadywacze? W dużej mierze tak...   29.04.2012, 10:21:39
- - lobopol   1. Najprostsza metoda poznania adresów do konkretn...   29.04.2012, 10:37:33
- - Substr   Na starej stronie po wgraniu shella mogłem zobaczy...   29.04.2012, 10:42:17
- - !*!   I jeszcze jedno. Wgranie czegokolwiek na Twój serw...   29.04.2012, 10:51:27
- - materkamil   Czyli wypowiedzi "dalej niezabezpieczone...   29.04.2012, 10:54:10
- - usb2.0   Wykonanie strony: materkamil to mnie rozwala ; D s...   29.04.2012, 10:54:48
- - materkamil   CytatWykonanie strony: materkamil to mnie rozwala ...   29.04.2012, 10:57:12
- - !*!   Pokaż kod, czy teraz zrobiłeś to dobrze.   29.04.2012, 10:59:59
- - materkamil   Zmienie nazwy plików i hasła i gotowe. Ten skrypt ...   29.04.2012, 11:01:29
|- - !*!   Cytat(materkamil @ 29.04.2012, 12:01...   29.04.2012, 11:07:09
- - materkamil   CytatNajprostsza metoda poznania adresów do konkre...   29.04.2012, 11:19:48
|- - !*!   Cytat(materkamil @ 29.04.2012, 12:19...   29.04.2012, 11:24:52
- - materkamil   A mógłbyś mi powiedzieć dlaczego i po co sprawdzać...   29.04.2012, 11:33:49
- - !*!   A po co Ci zamek w drzwiach, skoro służą do otwier...   29.04.2012, 11:34:25
- - materkamil   Drzwi można kopnąć z użyciem jakiegoś ciężkiego cz...   29.04.2012, 11:35:50
|- - !*!   Cytat(materkamil @ 29.04.2012, 12:35...   29.04.2012, 11:39:42
- - materkamil   CytatW takiej formie jaką przedstawiasz, mogę ze s...   29.04.2012, 11:45:03
|- - redeemer   Cytat(materkamil @ 29.04.2012, 12:45...   29.04.2012, 11:55:28
- - usb2.0   a ja zapytam, tylko czy to haslo to wymyslony prze...   29.04.2012, 11:45:43
- - materkamil   Zwykły najprostszy string trzymany w skrypcie bez ...   29.04.2012, 11:50:18
- - usb2.0   o chopie ;d polecam spojrzec na np jakis framewor...   29.04.2012, 11:53:12
- - !*!   materkamil - zacznij od jakiegoś kursu PHP i googl...   29.04.2012, 11:56:07
- - greycoffey   Ijeee, o bezpieczeństwo pyta sam nauczyciel bezpie...   29.04.2012, 15:57:04

« Następny starszy · Przedszkole · Następny nowszy »
 

Reply to this topicStart new topic
2 Użytkowników czyta ten temat (2 Gości i 0 Anonimowych użytkowników)
0 Zarejestrowanych:

 

Tryb wyświetlania: Przełącz na: Standardowy · Przełącz na: Linearny+ · Drzewo

Śledź ten temat · Wyślij temat na e-mail · Wydrukuj ten temat · Subskrybuj to forum

RSS Aktualny czas: 7.01.2026 - 07:05
Powered By IP.Board © 2026  IPS, Inc.
All changes by PHP.pl Administrators
Hosting zapewnia NQ.pl hosting, trac, svn