Прошу проверить скрипт [Архив]

Просмотр полной версии : Прошу проверить скрипт

-=Zhenek=-

06.04.2008, 05:36

http://alhimiya.in/shop/index.php

Незнаю почему предыдущую тему удалили. Вот решил запостить заного...

http://alhimiya.in/shop/ проверять только,то что находится в этой папке... http://alhimiya.in/ сюда можно не лезть тут залиты файлы джумлы,в них нет ниче интересного...

Дизайн магазина сперт у укоза,но это временно пока мне разрабатывают дизайн..

Даю для пробы аккаунты:

user:qwerty

Логи не ведутся, временно отключил для вас =)) ..

Заранее спасибо....

fuckthesystem

06.04.2008, 12:13

Невозможно найти удаленный сервер

n0ne

06.04.2008, 12:23

В гостевой можно проинжектить html код в поле mail.

-=Zhenek=-

06.04.2008, 13:17

В гостевой можно проинжектить html код в поле mail.

Спасибо исправил....

Невозможно найти удаленный сервер

да нет.. все работает... Может у вас че с инетом?? Попробуйте еще раз :-)

n0ne

06.04.2008, 18:21

Капча очень простая и распознаеца элементарным алгоритмом с пробивом почти 100%. И маленькая очень ( ну это уже дизайн и удоство:) ).

з.ы. маленькая в смысле мелкая...ну т.е. просто размер картинки)

Mobile

06.04.2008, 20:55

Мне некоторое время назад продавец этого движка давал его на проверку, так вот там скули были везде... тоесть фильтрации небло некакой. Незнаю, исправленны тут скули илил нет. Условие их работы magic_quotes=off а тут на хосте "on"

-=Zhenek=-

07.04.2008, 01:11

Mobile все переменные проходят через mysql_real_escape_string . Думаю скуль быть недолжно, но всетаки неуверен...

P.S я тебе его и давал на проверку...

dmnt

07.04.2008, 02:00

Покупка совершена!
Куплено:
gamzaev-ilyas@mail.ru:xxx655
Jura1975@mail.ru:xxx2007
alinchik.v@mail.ru:xxx4
andrey_2007.dom@mail.ru:xxx93184
a.gavin@mail.ru:xxx68
amkosss@mail.ru:xxxju
art.home@mail.ru:xxxa
kioma-92@mail.ru:xxxin
demas11@mail.ru:xxx1298
katerina_rozovik@mail.ru:xxxzik

xxx - это я заменил
потянет на уязвимость?

-=Zhenek=-

07.04.2008, 08:25

потянет на уязвимость?

Да,но как ты это сделал????

они не числятся в списке купленных... Получается доступ к базе..

Напиши в ПМ каким образом?

Капча очень простая и распознаеца элементарным алгоритмом с пробивом почти 100%
А капчу я потом переделаю.. тут 2 мин работу..Поставлю ккапча и все))))

Блин.. репутацию поставил а она флагом желтым((наверно молодой я тут еще))))

Ponchik

07.04.2008, 11:32

Подозрение на SQL inj
http://alhimiya.in/shop/index.php?do=buy
Очень страно себя ведёт... Пишу 1 пишет нет средств, пишу 1+ORDER+BY+1/* снова нет средств пишу 1+ORDER+BY+111111111/* и опять таки нет средств, intval? Но я пишу 0, оно ничё не выводит, пишу 0/* пишет Покупка совершена! М? :)
==============
После добовления месаги в отзывы надо перекидывать юзверя, если обновить страницу снова добавится отзыв
==============
В ПМ каптча не обновляется, хоть 100 месаг за 1 каптчу можно + таже байда что в отзывах, Crl+R = +1 сообщение, после добовления надо удалять каптчу
==============
Подозрение на SQL Inj
http://alhimiya.in/shop/index.php?del=2&id=65 - так удаляет
http://alhimiya.in/shop/index.php?del=2'&id=65 - так нет
Щупать влом
==============
В табле "Заказать" всёвремя написано "Вы заполнили не все поля!" да я их и не собирался заполнять :rolleyes:
==============
Х**себе
http://alhimiya.in/shop/index.php?del=3&id=1
Пользователь успешно удалён? :eek:
==============
XSS
http://alhimiya.in/shop/index.php?do=cards
И ваще помоему это админское

Добавил денег
Номер карты: 123
Пин-код : 123
Где куплена : 123
Наминал: 9999999 р.
Бонус: 9999999 р.
Итого зачислено : 19999998 p.
Карта успешно активирована

Случайно вышел, войти немогу т.к. удалил пользователя

/me валяеццо :D :D :D :D

-=Zhenek=-

07.04.2008, 11:42

Ponchik

07.04.2008, 12:01

-=Zhenek=-, ты чё! Числа надо пропускать через intval() а если mysql_real_escape_string то надо брать в MySQL в ковычки число, mysql_real_escape_string не поможет от SQL Inj с цифрами, только со строками поможет, а чтоб сделать число строкой как я уже сказал бери его в MySQL в ковычки

Во избежания возникновения баянских вопросов:
ты делаеш так
$s = mysql_real_escape_string($_GET['s']);
mysql_query("SELECT `a`,`b`,`c` FROM `lol` WHERE `id` = $s");
передаём в s "-1+UNION+SELECT+1,2,3/*" скуля! Чтоб этого небыло либо
$s = intval($_GET['s']);
либо
mysql_query("SELECT `a`,`b`,`c` FROM `lol` WHERE `id` = '$s'");

-=Zhenek=-

07.04.2008, 14:47

Х**себе http://alhimiya.in/shop/index.php?del=3&id=1 Пользователь успешно удалён?
Я пацталом )) ты админа удалил)))))

А все это из-за того ,что я когда обновлял допустил ошибку.. удалял функции и редактировал и случайно в сравнении удалил одно равно.. вот и получилось что удалять могу все)))

то надо брать в MySQL в ковычки число

Да. у меня оно было взято в '' но для безопасности сделал еще и intval. Спасибо..

Еще коечто.. Зачем флудить вгостевой?? там появилось 10 сообщений "Мама где я" проверил в базе просто тупые сообщения... Если повторится буду вынужден включить логи и смотреть с каких IP оставляют сообщения и банить.... Мне жаль..но если так свинячите....

В табле "Заказать" всёвремя написано "Вы заполнили не все поля!" да я их и не собирался заполнять

Исправил

И ваще помоему это админское

Забыл добавить проверку..

Все исправил.... Жду дальнейшего теста...

Ponchik

07.04.2008, 16:09

Всё ещё можно удалять карты
http://alhimiya.in/shop/index.php?del=6&id=1

Насчт флуда я непонял, кому это надо нам или тебе! Видетели ему 10 сообщений ненравятся так не проси тогда больше никого чекать твои сайты и пусть пользователи гуляют с 10 милиардами на счету и всё! ппц как меня это взбесило! Просят чекать потом ещё ненравится чёто!
Это наглость, ничего не платиш за проверку ещё и условия ставиш! Плати бета тестерам и ставь им условия чтоб на возможность флуда и спама не проверяли сайт
Дальше чекай сам

-=Zhenek=-

07.04.2008, 17:16

Насчт флуда я непоня....

Вот именно ты непонял..

Это не тест, это просто сообщения в них даже не пытались html код поставить...Просто написали и все..
Остальные с попытками я сотнями удаляю из базы ежедневно они пусть нежалко....

А таких флудовых сообщений да еще и с матами немало... Их больше чем тестовых...А кто балуется? я вот незнаю. кто потому, что отключил логи, чтоб вам спокойнее было...