Много возможностей - мало шансов

[HeeL]

И снова здравствуйте, господа взломщики ;)

Опять прошу помощи в проверке безопасности одного своего проекта. Это доска объявлений, которую я написал полностью с нуля, не используя никаких движков и сторонних кодов.

Поле для деятельности не маленькое. Успехов всем, кто возьмется за это нелегкое дело ;)

Доска объявлений: http://doua.com.ua

[LAEOT]

Я нашол xss у тебя ))
Login : LAEOT
Pass: bermuda
http://doua.com.ua/edit_profile/43/
XSS уже есть один,ща дальше искать буду :)

P.s : Нелегое дело? - я за 3 минуты нашол ))

Edit:
http://doua.com.ua/240/
Тест = я.
Ошибка : Можно ставить пустые коментарий => Просто супер... : )

[LAEOT]

http://doua.com.ua/sub/5/
=> я создал пустое заевление там, тоже не проверяетсья.
ПРИКОЛ : Как в это пустое заевление пoпасть , если оно пустое? )))

http://doua.com.ua/sub/5/
=> я создал обявление : срок обявление НЕуказал :) теперть навечно стоять будет ))) (пока не удалят)

http://doua.com.ua/245/
=> можно писать сколько хочешь текста... вот спамеры обрадуетья ))

===================

Короче полно ошибок в твоем сайте...

[HeeL]

Привет, Laeot. Спасибо, что уделил время моему проекту.

Никаких изменений в системе делать не буду, так как не вижу ничего, что меня бы разочаровало в своей системе.


1. Xss: в редактировании профиля я так и не увидел алерта, хотя что-то там явно не так как нужно. За это плюс тебе

2. Можно оставлять пустые комментарии! Ну и что? А если комментарий будет не пустой а, к примеру, с несколькими минусами, знаками подчеркивания или чем-то еще - это будет намного лучше выглядеть? Минус - совсем не ошибка

3. Можно создать пустой объявление в которое нельзя попасть. Если человек намеренно создал такое объявление, то это его проблемы, что в него нельзя попасть. В режиме администратора конечно же все удаляется без проблем. Минус.

4. Если не указать срок хранения объявления, то система не выдает ошибку. Да, ошибка не выдается, просто присваивается значение по-умолчанию (30 дней). Минус - ничего там вечно не висит.

5. Можно писать сколько хочешь текста (на радость спамерам). Во-первых, размер текста ограничен, просто значение довольно большое. Во-вторых, причем тут спамеры? Спам можно и в нескольких строчках помещать - это уже проблемы модерации. Не вижу смысла вообще в ограничении до 255 символов или что-то около того. Минус!


===============

пока найдено пол ошибки приблизительно. Продолжайте, успехов ;)

[HeeL]

Laeot, алерт действиетльно не получил, но смог вставить некоторый Html-код в поле при редактирование профиля. Получаешь полноценный +1 ! :)

[Jokester]

2 HeeL
Алерт действительно был , а сейчас его нет. Во всяком случае в опере.Сталобыть изменения сделаны были,благодаря Laeot.Если так уверен в своей непогрешимости зачем вообще просить тестировать сайт? Да ,парень написал много глупостей, но это не значит ,что XSS отсутствует.Я думаю ,что нужно более уважительно относиться к людям которые тратят своё время на то ,что нужно тебе.А вобщем и целом сайт не плохой ,что уж тут скажешь.

[HeeL]

Я уважительно отношусь, плюсонул и отписался.

А на тестирование выкладываю потому что я не могу проверять все так дотошно, как остальные ;)

[LAEOT]

Xss был там :)
Я хотел его проверить еще раз но какойто ламер изменил пароль или удалил мой профиль :rolleyes:
К стате про ошибки, ну будут у тебя все время такие пустые топики,сообшение... тебе же трудней жить будет а не мне ;)
Мое дело это показать ошибки... а тебе уж выберать или их видеть и исправить, или поленитсья и мучиться!

[HeeL]

Я же говорю - пустые объявления не мешают жить. В профиле админа они удаляются не сложнее чем объявления с заголовком.

[Ponchik]

http://doua.com.ua/add/
Пытаюсь добавить (естествено с разными проколами) объяаление, не добовляется, ошибку не показывает, шо за нах... Нервирует
P.S. Так и не смог добавить и забил! Врядле сайт с таким добовлением будет популярен :)

Каптча нереально приметивная :rolleyes:

Я очень извеняюсь за флуд _http://doua.com.ua/207/ :D
Каптча после добавления камента не удаляется тоесть за 1 и туже каптчу можно делать скоко хош и чего хош, я вот там тупо enter зажал :p

Раскрытие пути
_http://doua.com.ua/phpmyadmin/themes/darkblue_orange/layout.inc.php убери вобще нафиг phpmyadmin это и брут и ваще много чего плохого! Убери нафег! :mad:
_http://forum.antichat.ru/showpost.php?p=613325&postcount=2 может у тебя и не покатит, н оя те говорю! Пряч его куданить чтоб никто незнал и невидел

Я незнаю на сколько можно верить спайдеру, обычно он никогда не врёт, в общем вот
http://savepic.ru/148629.jpg
Хостинг дырявый :p

[HeeL]

Спасибо, Ponchik, очень круто ;)

Не могу сказать почему тебе не удалось добавить объявление, я увидел очень много тегов и кавычек, за время тестирования на Античате :)

За примитивную капчу я не боюсь, а вот то что ты подметил такую хорошую возможность на для флуда - это пять! :)

http://doua.com.ua/add/
Раскрытие пути
_http://doua.com.ua/phpmyadmin/themes/darkblue_orange/layout.inc.php убери вобще нафиг phpmyadmin это и брут и ваще много чего плохого! Убери нафег! :mad:
_http://forum.antichat.ru/showpost.php?p=613325&postcount=2 может у тебя и не покатит, н оя те говорю! Пряч его куданить чтоб никто незнал и невидел

Я незнаю на сколько можно верить спайдеру, обычно он никогда не врёт, в общем вот
http://savepic.ru/148629.jpg
Хостинг дырявый :p


К сожалению - это от меня не зависит, хостинг не без ошибок. Конечно же никакого phpmyadmin у меня в каталоге нету.

[x88x]

еще +0.5
_http://doua.com.ua/232/

*пиши конкретнее, что тут не так.. или снесу пост)

[Ponchik]

За примитивную капчу я не боюсь, а вот то что ты подметил такую хорошую возможность на для флуда - это пять!
ПРиметивная каптча это и есть отличная возможность для флуда :rolleyes: нахера она нужна если её расшифрует любой скрипт

[HeeL]

x88x, не понял тебя, совсем)

Ponchik, я понимаю, что это возможно, но флуда нету ни на одном проекте где стоит эта капча. По моему мнению - если данная капча не была сломана, то более сложная не требуется.

[x88x]

x88x, не понял тебя, совсем)

а что тут непонятного???
при вводе слова без пробелов, символов этак 1000 разъезжается дизайн - появляется горизонтальная полоса прокрутки (см ссылку в моем предыдущем посте)
не бак конечно, но маленькая неприятность =)
поэтому и +0.5 бага.

[HeeL]

x88x, а да, есть немного, я просто забыл потому что сразу удалил этот коммент :) Пасиб, плюс тебе)

[-=Zhenek=-]

Ponchik, я понимаю, что это возможно, но флуда нету ни на одном проекте где стоит эта капча. По моему мнению - если данная капча не была сломана, то более сложная не требуется.

А что тут непонятного. Вот ты его щас раскрутишь немного. Я напишу скриптец который обходит капчу(расшифровывает и вводит цифры) и он в каждый раздел и подраждел добавит мою рекламу. Ты ее удалишь, а я опять.

Я его продам и уже 2 человека будут флудить или выложу в паблик тогда твоей доске капец.

А попробуй еще кроме капчи сделать ограницение с 1 IP 1 сообщение в минуту.

[HeeL]

-=Zhenek=-, я понимаю потенциальную опасность. Но смена рисунка для капчи это минута, а вам распознавать заново фон - это намного больше времени. Заинтересованность не такая большая, чтобы постоянно распознаваниями заниматься. Проще фладить доски без капч или где черным по белому цифры написаны ;)

[-=Zhenek=-]

Ну вобщем то да, но фон это непроблема.. скриптец меня подкладку (фон) на белую. То есть тебе нужно сделать искажения или как на рапидшаре капча там картинки.. Тоесть например Буква и на ней висит какоенибуд животное... сходи и посмотри.. Вот это будет надежно и красиво =)

halkfild давайте вести обсуждения ближе к теме..

[HeeL]

в том-то и дело, если начнут сильно ломится и не поможет смена фона (например, с узорами поставить), то можно изменить шрифт. В том числе и на котячий, который на Рапиде сейчас.

На уровне программирования это все не больше чем 20 минут.