 [skrypt] Skrypt forum |
  |
| [skrypt] Skrypt forum |
 21.06.2010, 15:50:03
Post
#1
|
|
|
Grupa: Zarejestrowani Postów: 190 Pomógł: 2 Dołączył: 30.11.2009 Ostrzeżenie: (10%) 
 |
Gdzieś 7 czerwca rozpocząłem pracę nad własnym skryptem forum.
Skrypt ma budowę strukturalną w 95%, te 5% jest to klasa MySQL oraz klasa szablonów. Cudów tam nie ma ale jak na 2tyg. pracy chyba nie jest źle. Proszę szukać błędów, sql inj, xss etc. Kod http://zenb.hostil.pl/index.php Hosting na razie jest jaki jest (troche wolny, niestabilny) ale jak skrypt będę rozwijać (mam taki zamiar) to się coś wybierze. Pozdro |
 |
 
|
|
21.06.2010, 15:55:07
Post
#2
|
|
 Grupa: Nieautoryzowani Postów: 2 249 Pomógł: 305 Dołączył: 2.10.2006 Ostrzeżenie: (0%) 
|
Mam tylko jeden, więcej mi sie szukac nie chce. Przy rejestracji, jak podajesz dane i masz błąd, wszystko jest kasowane.
@down: Jakkolwiek to nazwiesz, jeśli nie ma ficzera to jest to błąd 
Ten post edytował pedro84 21.06.2010, 16:02:16 -------------------- Google knows the answer...
|
|
|
|
|
21.06.2010, 15:58:45
Post
#3
|
|
|
Grupa: Zarejestrowani Postów: 190 Pomógł: 2 Dołączył: 30.11.2009 Ostrzeżenie: (10%)
|
chodzi ci o to zeby login zostal, email i te inne dane?
to to nie jest blad ;p jedynie zapomnialem dodac, dzieki za uwage |
|
|
|
|
22.06.2010, 11:40:20
Post
#4
|
|
 Grupa: Zarejestrowani Postów: 697 Pomógł: 47 Dołączył: 19.12.2003 Skąd: Lublin Ostrzeżenie: (0%)
|
Strona dziurawa
 . Dokładniej podatna na SQL Injection oraz Blind SQL Injection. Złamanie jej zajęło mi 5 minut  . Hasło typu xxx111 nie jest zbyt najtrudniejsze do złamania ;]. Pierwszy z brzegu słownik MD5 mi rozgryzł hash(czemu nie dodajesz soli?).A tu działający kod Kod http://zenb.hostil.pl/user.php?module=view&user=32%20AND%201=0%20UNION%20SELECT%201,1,1,1,1,password,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1%20FROM%20users%20-- W polu Strona WWW widać jak na dłoni hasło administratora .Pozdrawiam
-------------------- Warsztat: Kubuntu, PhpStorm, Opera
|
|
|
|
|
30.06.2010, 10:57:54
Post
#5
|
|
|
Grupa: Zarejestrowani Postów: 190 Pomógł: 2 Dołączył: 30.11.2009 Ostrzeżenie: (10%)
|
nom brawo
dziwne, dałem mysql_real_escape_string bo tak sie ogolnie zabezpieczam przed sql inj, podaj mi na pw jak mozesz inne sql inj, blind sql zeby sie jakos zabezpieczyc dodalem sprawdzanie czy get jest wartoscia numeryczna zmiana adresu : zenb.tk lub zenb.xaa.pl W changelog po zalogowaniu macie ostatnie zmiany ;p Zapraszam do testowania (glownie sql inj ) ref |
|
|
|
|
30.06.2010, 20:34:30
Post
#6
|
|
|
Grupa: Zarejestrowani Postów: 23 Pomógł: 2 Dołączył: 12.03.2010 Ostrzeżenie: (0%)
|
|
|
|
|
|
1.07.2010, 23:31:25
Post
#7
|
|
|
Grupa: Zarejestrowani Postów: 190 Pomógł: 2 Dołączył: 30.11.2009 Ostrzeżenie: (10%)
|
poprawione, prosze o wiecej bo chce kiedys wypuscic skrypt a nie chce czegos pelnego xss, sql injection wypuscic a sam nie wylapie bledow
ref, dodalem ocenianie postow w niektorych forach |
|
|
|
|
|
Wersja Lo-Fi | Aktualny czas: 18.07.2025 - 03:38 |
