Тема: Камбинация проверки на дыры (Сайт/Форум/Архив закрытых тем)

ЗЕЛЕНЫЙ ШЕРШЕНЬ (29 Apr 2013 в 08:03)
Согласен но думаю бесплатно не кто не сделает

FixleR (29 Apr 2013 в 08:36)
htmlspecialchars();
 mysql_real_escape_string();

Engine (29 Apr 2013 в 09:09)
любой html или javasсript код если выполняется, значит есть дыра.

KENT (29 Apr 2013 в 10:06)
может написать полный код. Здесь раньше был на форуме. После переезда в форуме пропал.

Engine (29 Apr 2013 в 10:11)
<h1>test

Angelok0803 (29 Apr 2013 в 10:14)
\"><h1> TEST </h1>

Jvk35 (29 Apr 2013 в 11:13)
А вот дыри так виглядят самые простые и
распространёные!Это просто примеры дыр <? if($_GET[\'act\'] == \"echo\")
{echo $_GET[\'echo\'];}
if($_GET[\'act\'] == \"include\")
{include $_GET[\'include\'];}
if($_GET[\'act\'] == \"eval\")
{echo eval($_GET[\'eval\']);} ?>

Zed (29 Apr 2013 в 11:17)
--Цитата--
Jvk35 (29 Apr 2013 в 11:13):
А вот дыри так виглядят самые простые и
распространёные!Это просто примеры дыр <? if($_GET[\'act\'] == \"echo\")
{echo $_GET[\'echo\'];}
if($_GET[\'act\'] == \"include\")
{include $_GET[\'include\'];}
if($_GET[\'act\'] == \"eval\")
{echo eval($_GET[\'eval\']);} ?>
----------
Jvk35, хахаха...Вот это быдлокод...:)

KENT (29 Apr 2013 в 11:44)
Dark_AKC,  а у тебя не до конца? И как узнать хсс ?

KENT (29 Apr 2013 в 11:50)
Angelok0803,  вообщем я нашел на сайте там вышло большими буквами тест это хсс ? Искал твоим кодом.

STEM (29 Apr 2013 в 12:03)
KENT,  где нашел?

Zed (29 Apr 2013 в 12:06)
--Цитата--
KENT (29 Apr 2013 в 11:50):
Angelok0803,  вообщем я нашел на сайте там вышло большими буквами тест это хсс ? Искал твоим кодом.
----------
KENT, да это хсс

Angelok0803 (29 Apr 2013 в 12:13)
KENT,  Да xss ищи и крой

Jvk35 (29 Apr 2013 в 12:52)
andrei4ik93,  а ты чё думал?Я показал пример дыр :) Прикольные примеры не так ли? :D

KENT (29 Apr 2013 в 13:03)
--Цитата--
STEM (29 Apr 2013 в 12:03):
KENT,  где нашел?
----------
STEM, на двиге 6.6.4 в поиске людей.

STEM (29 Apr 2013 в 13:11)
KENT,  пойду поломаю че нибужь

KENT (29 Apr 2013 в 13:11)
--Цитата--
Angelok0803 (29 Apr 2013 в 12:13):
KENT,  Да xss ищи и крой
----------
Angelok0803, вообщем убрал. Там в принцепе не
сложно . Может показалось так.

KENT (29 Apr 2013 в 13:13)
--Цитата--
STEM (29 Apr 2013 в 13:11):
KENT,  пойду поломаю че нибужь
----------
STEM, до 9 лет счас . Это строго стало. Новости смотри. Сейчас всё фиксируется в дачкике любого хоста. У них в админке. Любой может обратится на один сайт и тебя легко найдут.

KENT (29 Apr 2013 в 13:15)
echo \"<input type=\"text\" name= \"usearch\" maxlength=\"16\" value=
\"$usearch\" /><br />n\"; строки хсс. Думаю не сложно увидеть их.

STEM (29 Apr 2013 в 13:15)
KENT,  пфф ...ноутбук и кафе с вайфаем 
иди ищи:)

Zed (29 Apr 2013 в 13:17)
--Цитата--
KENT (29 Apr 2013 в 13:15):
echo \"<input type=\"text\" name= \"usearch\" maxlength=\"16\" value=
\"$usearch\" /><br />n\"; строки хсс. Думаю не сложно увидеть их.
----------
KENT,$usearch=htmlspecialchars($usearch);

KENT (29 Apr 2013 в 13:24)
--Цитата--
Zed (29 Apr 2013 в 13:17):
KENT,$usearch=htmlspecialchars($usearch);
----------
andrei4ik93, что это?

Zed (29 Apr 2013 в 13:25)
--Цитата--
KENT (29 Apr 2013 в 13:24):
andrei4ik93, что это?
----------
KENT, фильтрация..

KENT (29 Apr 2013 в 13:26)
--Цитата--
Zed (29 Apr 2013 в 13:17):
KENT,$usearch=htmlspecialchars($usearch);
----------
andrei4ik93, maxlength=\"16\" value=
\"$usearch\" я убрал это и всё стало норм. А кто знает как проверить дыры?

KENT (29 Apr 2013 в 13:27)
maxlength=\"16\" value=
\"$usearch\" тоесть это убрал.

Zed (29 Apr 2013 в 13:33)
--Цитата--
KENT (29 Apr 2013 в 13:27):
maxlength=\"16\" value=
\"$usearch\" тоесть это убрал.
----------
KENT, зачем убирать?А поиск работать тогда не будет...

KENT (29 Apr 2013 в 13:34)
--Цитата--
Zed (29 Apr 2013 в 13:33):
KENT, зачем убирать?А поиск работать тогда не будет...
----------
andrei4ik93, у меня работает. Ищет.

Angelok0803 (29 Apr 2013 в 13:41)
Надо не убирать а латать. А так в чемто будет теперь сбой

KENT (29 Apr 2013 в 13:43)
--Цитата--
Angelok0803 (29 Apr 2013 в 13:41):
Надо не убирать а латать. А так в чемто будет теперь сбой
----------
Angelok0803, скажи пожалуйста как теперь проверить на дыру. Да там сбой ищет не точно но похожее.

Angelok0803 (29 Apr 2013 в 13:47)
--Цитата--
KENT (29 Apr 2013 в 13:43):
Angelok0803, скажи пожалуйста как теперь проверить на дыру. Да там сбой ищет не точно но похожее.
----------
KENT, Впиши еще рас проверку на xss

KENT (29 Apr 2013 в 13:49)
--Цитата--
Angelok0803 (29 Apr 2013 в 13:47):
KENT, Впиши еще рас проверку на xss
----------
Angelok0803, вписал всё чисто.

Angelok0803 (29 Apr 2013 в 13:51)
--Цитата--
KENT (29 Apr 2013 в 13:49):
Angelok0803, вписал всё чисто.
----------
KENT, Конечно чисто. Если там уже нету вообще нечего:)

KENT (29 Apr 2013 в 13:53)
--Цитата--
Angelok0803 (29 Apr 2013 в 13:51):
KENT, Конечно чисто. Если там уже нету вообще нечего:)
----------
Angelok0803, на хсс прошел весь сайт. А как дыры найти какой комбинацией?

WIZART (29 Apr 2013 в 14:34)
\"><h1>Уязвимость гг.!
Еще можно для форм textarea и так \"><textarea>test</textarea><h1>Дырко

KENT (29 Apr 2013 в 14:46)
--Цитата--
WIZART (29 Apr 2013 в 14:34):
\"><h1>Уязвимость гг.!
Еще можно для форм textarea и так \"><textarea>test</textarea><h1>Дырко
----------
WIZART, не совсем понял на дырку как вписать?

KENT (29 Apr 2013 в 14:49)
--Цитата--
WIZART (29 Apr 2013 в 14:34):
\"><h1>Уязвимость гг.!
Еще можно для форм textarea и так \"><textarea>test</textarea><h1>Дырко
----------
WIZART, \"><textarea>test</
textarea><h1> этот код ?

Jvk35 (29 Apr 2013 в 15:38)
andrei4ik93,  вобщето так нужно фильрировать там так $usearch=stripcslashes(htmlspecialchars($usearch));
а не так $usearch=htmlspecialchars($usearch);

Zed (29 Apr 2013 в 15:45)
--Цитата--
Jvk35 (29 Apr 2013 в 15:38):
andrei4ik93,  вобщето так нужно фильрировать там так $usearch=stripcslashes(htmlspecialchars($usearch));
а не так $usearch=htmlspecialchars($usearch);
----------
Jvk35, та я знаю прост неправильна написал...так то в релизе Социала1.7 эта фильтрация уже есть...

KENT (29 Apr 2013 в 19:25)
Скажите код проверки на дыры.

Engine (30 Apr 2013 в 10:08)
Бан за игнорирование правил раздела

Мр. Форум (30 Apr 2013 в 10:08)
[red]Тему закрыл Модератор форума Dark_AKC[/red]

Мр. Форум (30 Apr 2013 в 10:08)
[red]Тему переместил Модератор форума Dark_AKC из раздела Уроки мастеров в раздел Архив закрытых тем[/red]

Источник: http://dcms-social.ru/forum/17/16/2773/