Pokus o hacking?

Webdesign, HTML, CSS, Flash, PHP, ASP, .NET, JavaScript. Kritika www stránek na Smetišti.

Moderátor: Moderátoři Živě.cz

Odeslat příspěvekod ebeš 3. 5. 2008 20:08

V databáze sledujem kto,kedy, z kade , aké stránky a pod. sleduje na mojom webe.
Na stránky odkazujem /index.php?strana=číslo
Niekedy tam nájdem /index.php?strana=http%3A%2F%2Fwww.unduetretoccaate.it%2Fcodice%2Ffog%2Fiyi%2F
Keď si to dám do prehliadača, objaví sa môj web bez stredného stĺpca/ je 3stĺpcový/
Neviete,čo by to mohlo byť?
ebeš
Junior

Odeslat příspěvekod _BoB_ 4. 5. 2008 05:41

A co to má dělat? :-)
Tady opravdu nikdo nevíme, co dělá skript index.php s parametrem strana. Jestli to má zobrazit nějakou stránku, tak mi to spíš připadá na pokus o phishing za pomoci tvých nevhodně připravených stránek...
_BoB_
Junior

Odeslat příspěvekod froggie 4. 5. 2008 06:56

ano, bezny pokus o vpasovanie cudzich stranok...

taketo (a podobne) veci by si mal mat osetrene pred spustenim webu, dufam ze mas
froggie
Pokročilý
Uživatelský avatar

Odeslat příspěvekod ebeš 4. 5. 2008 16:27

Áno, Index.php s parametrom strana zobrazuje prislušnú stránku.
Web sa snažím ochrániť ako najlepšie viem, čo samozrejme nemusí byť dostatočne.
V roote webu mam subor index. php a subor s funkciami
Na stlpce v index.php odkazujem
Kód: Vybrat vše
<div id="prvý">
  <?php
include("prvy.htm")
?>
</div>

<div id="treti">
   
  <?php
include("treti.htm")
?>            
</div>
<div id="druhý">
<?

druha()

?>
</div>

Funkcia druha () je v subore s funkciami

Kód: Vybrat vše
function druha()     
{

if(IsSet($_GET['strana'])):
kody();
  $vysledok = MySQL_Query("SELECT adr FROM "" WHERE id = '$_GET[strana]'");

  if(MySQL_NumRows($vysledok)==1):
    $adr = MySQL_Result($vysledok, 0, "adr");
  else:
   $adr = "prazdne.htm";
  endif;

Je ten kód zraniteľný, aj keď volám $_GET['strana']) cez funkciu?
ebeš
Junior

Odeslat příspěvekod K8 4. 5. 2008 16:44

no takhle kdyz je znam zdrojovy kod, je to otazka SQL injection
pokud tedy v parametru strana ma byt pouze cislo, tak by to chtelo osetrit napr funkci intval
K8
Pokročilý

Odeslat příspěvekod gofry 4. 5. 2008 18:10

Keď zájdeš na stránku, ktorú ti niekto zadal ako parameter, tj. na http://www.unduetretoccaate.it/codice/fog/iyi/, tak zistíš, že je tam nejaký PHP kód.

To znamená, že niekto sa pokúša zistiť, či náhodou nemáš neošetrené includovanie súborov z iných domén.
gofry
Junior
Uživatelský avatar

Odeslat příspěvekod wojta 4. 5. 2008 19:32

Takhle ti to nikdo nenabourá přes ten include, ale tady:
Kód: Vybrat vše
$vysledok = MySQL_Query("SELECT adr FROM "" WHERE id = '$_GET[strana]'");

Někdo bez problému může udělat SQL injection.
Zkus toto:
Kód: Vybrat vše
$vysledok = MySQL_Query("SELECT adr FROM "" WHERE id = ".mysql_real_escape_string($_GET[strana]));
C:\>ver
MS-DOS Version 5.00
wojta
Pokročilý
Uživatelský avatar

Odeslat příspěvekod K8 4. 5. 2008 20:30

vzdyt uz jsem to psal, a nez mysql_real_escape_string je lepsi ta funkce intval
K8
Pokročilý


Kdo je online

Uživatelé procházející toto fórum: Žádní registrovaní uživatelé a 0 návštevníků