PDA

Просмотр полной версии : Проверка kuchaknig.ru - Благодарю всех кто участвует

box4dod
25.04.2009, 14:46
Прошу помоч в проверке моего сайта kuchaknig.ru
Cайт самописный, кнопка античата слева внизу.

Всем откликнувшимся, уважение и поклон :)

Заранее спасибо.
AKYLA
26.04.2009, 20:31
XSS
/?>"'><script>alert('XSSKA')</script>
box4dod
26.04.2009, 20:37
Спасибо , message box c алертом не выскочил.
box4dod
26.04.2009, 20:38
nonamez , скажи пожалуйста как получил это ?
AKYLA
26.04.2009, 20:46
box4dod
Выскочит, но смотря какой браузер, в Опере работает 100%, в фаере или IE 8 будет блокировать, но тоже смотря какая версия, но уязвимость больше не из-за движка, а из-за настройки Апача и ПХП
AKYLA
26.04.2009, 20:48
/catalog.php?>"'><ScRiPt>alert(12345)</ScRiPt> - или так

Еще фиксация сессии есть PHPSESSID
http://framework.zend.com/manual/ru/zend.session.globalsessionmanagement.html
Короче надо нормально настроить хостинг
nonamez
26.04.2009, 21:02
http://kuchaknig.ru/catalog.php?action=by_letter_avtor&letter=<script>alert</script>

тут
box4dod
26.04.2009, 21:39
Огромное спасибо всем кто помогает , завтра поправлю найденое. Может кто то блеснет более серьёзной вещью ?
BlackSun
26.04.2009, 21:58
Active XSS
Дневник пользователя > Добавить запись
Уязвимы поля "Настроение:" и "Под музыку:"
Пример: http://kuchaknig.ru/user_show_page.php?user=11&action=dnevnik&selected_id=10&find_page=1
xVampirx
26.04.2009, 23:09
Маленький хинтик:) в чате нельзя менять ник ...отключаем обновление страницы,редактируем в коде страницы ник на любой желаемый и пишим сообщение
AKYLA
27.04.2009, 00:37
http://kuchaknig.ru/includes/center/index.php?'
скажем так...информативно довольно таки
box4dod
27.04.2009, 14:31
Очень признателен , всем кто помогал найти баги.
на данный момент из вышеперечисленного все баги исправлены , надюсь что вы предпримите дополнительные попытки по выявлению уязвимостей.

Ещё раз всем спасибо!
box4dod
28.04.2009, 15:31
Неужели больше багов нет? может небольшой призовой фонд организовать ?
BlackSun
28.04.2009, 15:42
У меня, к примеру, сессия .. имхо еще что нибудь найдется, надо только подождать :)
box4dod
01.05.2009, 13:55
Не отступать и не сдаваться :)
и так на сайте появились новые функции такие как RSS трансляции каждого дневника, возможность сборки RSS леты из нескольких лент. Добавлены интересы, поиск по интересам и другие мелочи. Благодарю всех кто искал и будет искать , баги, дыры.