Есть вопрос

[KanapizZ]

Вообщем. Есть сайт, там код страницы примерно такой

при етом переменка $u как то там фильтруется (екранирует кавычки так \' и \")

Можно ли произвести какую либо атаку? Мне не для зла а чисто для опыта

[XAMEHA]

Это XSS, одна из клиентских уязвимостей - теория здесь очень большая, статьей очень мало, и в них в основном рассматривается самый простой и не очень эффективный метод атаки - угон куков Экранирование кавычек в этом случае совершенно не имеет значения

Что-бы защитится здесь, нужно преобразовывать > и [B]

[KanapizZ]

Я понимаю что ето хсс. Но я имею в виду можно ли произвести атаку какую либо например подставить '.eval(phpinfo()).' но кавычки заэкранируются. Есть выход?

[5CAbuseHost]

атака только если на сайте живой админ можно ему заслать код который пароль сменит или куки тебе отошлёт

[KanapizZ]

Прочитайте пожалуйсто внимательно 1 и 3 пост...

[5CAbuseHost]

сам и прочитай свой первый пост я тебе написал что можно сделать включи мозг если тыква внутри не пустая

[KanapizZ]

За мой счет сходишь к окулисту, ок?

[5CAbuseHost]

лучше за мой счёт дырку в голове заделай

[Konqi]

никакого исполнения кода там не может быть впринципе, php читает твою переменную "c" как строку, а не как исполняемый код, и это логично

[KanapizZ]

Ну так мб site.ru/?c='.eval(phpinfo()).'

[Konqi]

KanapizZ said:
Ну так мб site.ru/?c='.eval(phpinfo()).'


хоть '.умоляю(исполняйся()).', ничего не выйдет.