Проверьте самописный сайт

[up3gp]

Добрый день!
Система полностью написана мной с нуля. Кодер я не опытный и боюсь, что есть дыры.

Сайт: http://up3gp.info

[S00pY]

passiv xss
up3gp.info/obmen.php?file="><script>alert()</script>
дайте тестовый акк... регаться впадло (

[up3gp]

Login: test
Pass: test

[noxjoker]

up3gp.info/obmen.php?file="><script>alert(document.cookies)</script>

[up3gp]

up3gp.info/obmen.php?file="><script>alert(document.cookies)</script>
ну так ведь код не записывается никуда. Но все равно профильтрую

_____
ЧТО стало с аватаром? Где там дыра?

[W@r.N0i$e]

Пути:
Заходим на http://up3gp.info/style/
Получаем:

Warning: include_once(sys/config.inc.php) [function.include-once]: failed to open stream: No such file or directory in /home/[path]/style/index.php on line 3

Warning: include_once() [function.include]: Failed opening 'sys/config.inc.php' for inclusion (include_path='.:/usr/local/php5/lib/php') in /home/[path]/style/index.php on line 3

Warning: mysql_query() [function.mysql-query]: Can't connect to local MySQL server through socket '/var/lib/mysql/mysql.sock' (2) in /home/[path]/style/index.php on line 6

Warning: mysql_query() [function.mysql-query]: A link to the server could not be established in /home/[path]/style/index.php on line 6

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in /home/[path]/style/index.php on line 7

Fatal error: Call to a member function assign() on a non-object in /home/[path]/style/index.php on line 10

[up3gp]

Пути:
Заходим на http://up3gp.info/style/
Получаем:

Warning: include_once(sys/config.inc.php) [function.include-once]: failed to open stream: No such file or directory in /home/[path]/style/index.php on line 3

Warning: include_once() [function.include]: Failed opening 'sys/config.inc.php' for inclusion (include_path='.:/usr/local/php5/lib/php') in /home/[path]/style/index.php on line 3

Warning: mysql_query() [function.mysql-query]: Can't connect to local MySQL server through socket '/var/lib/mysql/mysql.sock' (2) in /home/[path]/style/index.php on line 6

Warning: mysql_query() [function.mysql-query]: A link to the server could not be established in /home/[path]/style/index.php on line 6

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in /home/[path]/style/index.php on line 7

Fatal error: Call to a member function assign() on a non-object in /home/[path]/style/index.php on line 10
странно этого файла там вообще быть не должно

__
А вы не будете показывать где дыра? Я до сих пор не понял фокус с аватаром...

[W@r.N0i$e]

Еще пути:
Заходим под тестовым акком. Потом в куки. Добавляем к сессии символы !@#$%^&*()/
Перезагружаем страницу.
Видим во всей красе:

Warning: session_start() [function.session-start]: The session id contains illegal characters, valid characters are a-z, A-Z, 0-9 and '-,' in /home/[path]/html/index.php on line 2

Warning: session_start() [function.session-start]: Cannot send session cookie - headers already sent by (output started at /home/[path]/html/index.php:2) in /home/[path]/html/index.php on line 2

Warning: session_start() [function.session-start]: Cannot send session cache limiter - headers already sent (output started at /home/[path]/html/index.php:2) in /home/[path]/html/index.php on line 2
�u�eh�5���J!%�r��B;��Z�%L|�&&�a|#�6X������{�9�F=o��q��N��� �٥{=�L�-ςy�s���xMA�0������㪪Z���I����O{��Ԉ�n��G2������ yDk5��р�.%� �R�P���k�1����pY�����DT�Ǝ��ؙ������K'zЎ��M�� 6���\T���?���>��z�J�4,IH�y�0<�k��� Ļ��S�

[Nightmarе]

ставь в скрипты в начале код:
error_reporting(0);
Это тебе все раскрытия и проблемы с куками закроет.
XSS фильтруется через htmlspecialchars();

[up3gp]

ставь в скрипты в начале код:
error_reporting(0);
Это тебе все раскрытия и проблемы с куками закроет.
XSS фильтруется через htmlspecialchars();

это ве я использую, просто в категорию style файл index.php попал случайно. И в него не подгружался файл в котором указан error_reporting(0);

я все еще не могу понять как под акаунт тест удалось загрузить 2 картинки разных форматов. Видимо придется переписать функцию :confused:

___________________
А иньекций и нет?)

[up3gp]

если я в .haccess добавлю

RemoveHandler .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml
AddType application/x-httpd-php-source .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml

^ верно так?
обезопасит ли это на 100% от загрузки шелов и пр. гадости?

[BlackSun]

Напомню, что оффтоп карается правилами раздела. Продолжите оффтопить, буду просить недельные баны для каждого.

[lukmus]

Можно зарегиться не вводя капчу, на капчу можно вообще забить:
-заходим сюда http://up3gp.info/reg.php
-вбиваем логин, пароль, мыло
-удаляем куку PHPSESSID
-нажимаем кнопку 'Сохранить'
-вуаля Вы успешно зарегистрированы!
Используйте свой логин и пароль для входа.

[Kamik]

http://up3gp.info/sys/config.inc.php

Раскрытие путей


Warning: require(sys/smarty/Smarty.class.php) [function.require]: failed to open stream: No such file or directory in /home/[path]/sys/config.inc.php on line 12

Fatal error: require() [function.require]: Failed opening required 'sys/smarty/Smarty.class.php' (include_path='.:/usr/local/php5/lib/php') in /home/[path]/sys/config.inc.php on line 12


Тоже самое раскрытие путей

<куки уже были>

[moko]

http://up3gp.info/edit_user_style.php

[Pashkela]

не сказал бы

http://up3gp.info/reg.php


Warning: Smarty error: unable to read resource: "reg.tpl" in /**/**/**/**/**/**/smarty/Smarty.class.php on line 1093

[Player#1]

http://up3gp.info/obmen.php

меняем в исходном коде
<input type="file" name="file" size="10" /> <br />
на
<input type="file" name="file[]" size="10" /> <br />

заливаем файл и получаем раскрытие путей.
Warning: pathinfo() expects parameter 1 to be string, array given in /home/...mini.php on line 146
Warning: filesize() [function.filesize]: stat failed for Array in /home/..../obmen.php on line 33



то же самое тут http://up3gp.info/reg.php

[up3gp]

Как вообще вырубить эти раскрытия путей? Чисто вывод ошибок выключить? В .хтачес? У меня в начале всех скриптов еррор_репортинг(0). Но почему все равно выводит...

[Кровавый]

Как вообще вырубить эти раскрытия путей? Чисто вывод ошибок выключить? В .хтачес? У меня в начале всех скриптов еррор_репортинг(0). Но почему все равно выводит...

Проблемные строки можно пометить @.

[попугай]

Как вообще вырубить эти раскрытия путей? Чисто вывод ошибок выключить? В .хтачес? У меня в начале всех скриптов еррор_репортинг(0). Но почему все равно выводит...


ini_set('display_errors', 0);

[_iks_]

http://up3gp.info/myblog.php

Fatal error: Call to undefined method stdClass::get_page() in /[path]/myblog.php on line 22

[assdancer]

http://up3gp.info/avatar.php
При загрузке файла с расширением jpg при фактическом содержании не jpg получается раскрытие путей:
Warning: imagecreatetruecolor() [function.imagecreatetruecolor]: Invalid image dimensions in /home/путь/avatar.php on line 62

Warning: imagecreatefromjpeg() [function.imagecreatefromjpeg]: gd-jpeg: JPEG library reports unrecoverable error: in /home/путь/avatar.php on line 63

Warning: imagecreatefromjpeg() [function.imagecreatefromjpeg]: '/tmp/phpqhuVS5' is not a valid JPEG file in /home/путь/avatar.php on line 63

Warning: imagecopyresampled(): supplied argument is not a valid Image resource in /home/путь/avatar.php on line 64

Warning: imagejpeg(): supplied argument is not a valid Image resource in /home/путь/avatar.php on line 65

Warning: Cannot modify header information - headers already sent by (output started at /home/путь/avatar.php:62) in /home/путь/avatar.php on line 84

[Agel Nash]

http://up3gp.info/file_show.php?file_id=-141
раскрытие путей