Проверьте плз аналог shorturl

[fbidesign]

Добрый день.

Прошу проверить на уязвимости очередной аналог shorturl ;)

http://fbi.pp.ua

Все самописное, скрипт небольшой.
Если у кого будут проблемы с регистрацией - тоже просьба отписать.
(предположительно есть глюк, который у меня не воспроизводится).
по default украинский язык, для выбора другого языка нажмите на флаг.

Заранее спасибо.

[mr.The]

Ну во первых, он не сокращает рускоязычные домены.
А потом - домен слишком длинный для shorturl. Имхо.
_ttp://fbi.pp.ua/?do=setlang&lang=ua123
некорректый язык не обрабатывается. чувствую, там error_reporting(0);..

c логином "testtest<b>123</b>" можно зарегистрироваться, но нельзя войти.

[eLWAux]

генерируем капчу на любой странице,
ответ на вашу капчу хранится в файле:
http://fbi.pp.ua/captcha/cap111.222.333.444.tmp - где 111.222.333.444 - ваш IP
--
автор, ты про сессии в пехопе слышал?
--
зарегатся так и не смог, капчу не принимает

[BlackFan]

Пассивная xss при отображении созданной ссылки
Активная xss в My URLs
Уязвимый параметр "Короткая ссылка"

Пассивная xss при регистрации с ошибкой (Например, если неправильно ввести каптчу)
Уязвимые параметры "E-mail", "Имя"


Раскрытие содержимого каталога
http://fbi.pp.ua/images/
http://fbi.pp.ua/captcha/


Можно сделать ссылку, которая редиректит сама на себя.
Можно сделать ссылку со своим коротким именем без регистрации.


И капча какая-то неадекватная)
Например картинка
http://savepic.ru/1298234.png
А ответ к ней был AEHNQ

[fbidesign]

спасибо за обнаруженные глюки.

он не сокращает рускоязычные домены.
было связано с проверкой корректности url. исправил. теперь туплю какого черта в базу пишутся вопросительные знаки когда я черным по белому везде колировку cp1251 прописал, что в поле таблицы, что в таблице. что в базе. что collation_connection ... раньше такой фокус работал... :mad:

А потом - домен слишком длинный для shorturl. Имхо.
ну в этой зоне минимум 3 символа - ограничение администратора домена. а вообще какая разница, лишь бы правильно раскрутить.

_ttp://fbi.pp.ua/?do=setlang&lang=ua123
некорректый язык не обрабатывается. чувствую, там error_reporting(0);..
за проверку спс но там если язык не соответствует одному из существующих lang файлов то берется default без вывода сообщений об ошибке.

c логином "testtest<b>123</b>" можно зарегистрироваться, но нельзя войти.
fixed. нельзя зарегистрироваться =)

Пассивная xss при отображении созданной ссылки
Активная xss в My URLs
Уязвимый параметр "Короткая ссылка"

Как следствие возможности сохранить html в базе. прикрыл.

Пассивная xss при регистрации с ошибкой (Например, если неправильно ввести каптчу)
есть


Раскрытие содержимого каталога
http://fbi.pp.ua/images/
http://fbi.pp.ua/captcha/

тестил на локалхосте, забыл что серв выдает листинг...

Можно сделать ссылку, которая редиректит сама на себя.
идея хорошая, не предусмотрел...

Можно сделать ссылку со своим коротким именем без регистрации.
спс, исправил

И капча какая-то неадекватная)

На капче ясно написано расставить символы в определенном пордке. Это чтобы антикапча не была перегружена :D

автор, ты про сессии в пехопе слышал?
слышал, но так интереснее ;)

зарегатся так и не смог, капчу не принимает
Символы расставлены в нужном порядке?
вот это по ходу тот самый глюк который у меня ни разу не проявлялся... надо както его выловить
после открытия страницы регистрации в другом окне браузера не открывали другую страницу регистрации или abuse report?