|
Много возможностей - мало шансов
И снова здравствуйте, господа взломщики ;)
Опять прошу помощи в проверке безопасности одного своего проекта. Это доска объявлений, которую я написал полностью с нуля, не используя никаких движков и сторонних кодов. Поле для деятельности не маленькое. Успехов всем, кто возьмется за это нелегкое дело ;) Доска объявлений: http://doua.com.ua |
Xss
Я нашол xss у тебя ))
Login : LAEOT Pass: bermuda http://doua.com.ua/edit_profile/43/ XSS уже есть один,ща дальше искать буду :) P.s : Нелегое дело? - я за 3 минуты нашол )) Edit: http://doua.com.ua/240/ Тест = я. Ошибка : Можно ставить пустые коментарий => Просто супер... : ) |
http://doua.com.ua/sub/5/
=> я создал пустое заевление там, тоже не проверяетсья. ПРИКОЛ : Как в это пустое заевление пoпасть , если оно пустое? ))) http://doua.com.ua/sub/5/ => я создал обявление : срок обявление НЕуказал :) теперть навечно стоять будет ))) (пока не удалят) http://doua.com.ua/245/ => можно писать сколько хочешь текста... вот спамеры обрадуетья )) =================== Короче полно ошибок в твоем сайте... |
Привет, Laeot. Спасибо, что уделил время моему проекту.
Никаких изменений в системе делать не буду, так как не вижу ничего, что меня бы разочаровало в своей системе. 1. Xss: в редактировании профиля я так и не увидел алерта, хотя что-то там явно не так как нужно. За это плюс тебе 2. Можно оставлять пустые комментарии! Ну и что? А если комментарий будет не пустой а, к примеру, с несколькими минусами, знаками подчеркивания или чем-то еще - это будет намного лучше выглядеть? Минус - совсем не ошибка 3. Можно создать пустой объявление в которое нельзя попасть. Если человек намеренно создал такое объявление, то это его проблемы, что в него нельзя попасть. В режиме администратора конечно же все удаляется без проблем. Минус. 4. Если не указать срок хранения объявления, то система не выдает ошибку. Да, ошибка не выдается, просто присваивается значение по-умолчанию (30 дней). Минус - ничего там вечно не висит. 5. Можно писать сколько хочешь текста (на радость спамерам). Во-первых, размер текста ограничен, просто значение довольно большое. Во-вторых, причем тут спамеры? Спам можно и в нескольких строчках помещать - это уже проблемы модерации. Не вижу смысла вообще в ограничении до 255 символов или что-то около того. Минус! =============== пока найдено пол ошибки приблизительно. Продолжайте, успехов ;) |
Laeot, алерт действиетльно не получил, но смог вставить некоторый Html-код в поле при редактирование профиля. Получаешь полноценный +1 ! :)
|
2 HeeL
Алерт действительно был , а сейчас его нет. Во всяком случае в опере.Сталобыть изменения сделаны были,благодаря Laeot.Если так уверен в своей непогрешимости зачем вообще просить тестировать сайт? Да ,парень написал много глупостей, но это не значит ,что XSS отсутствует.Я думаю ,что нужно более уважительно относиться к людям которые тратят своё время на то ,что нужно тебе.А вобщем и целом сайт не плохой ,что уж тут скажешь. |
Я уважительно отношусь, плюсонул и отписался.
А на тестирование выкладываю потому что я не могу проверять все так дотошно, как остальные ;) |
Xss был там :)
Я хотел его проверить еще раз но какойто ламер изменил пароль или удалил мой профиль :rolleyes: К стате про ошибки, ну будут у тебя все время такие пустые топики,сообшение... тебе же трудней жить будет а не мне ;) Мое дело это показать ошибки... а тебе уж выберать или их видеть и исправить, или поленитсья и мучиться! |
Я же говорю - пустые объявления не мешают жить. В профиле админа они удаляются не сложнее чем объявления с заголовком.
|
http://doua.com.ua/add/
Пытаюсь добавить (естествено с разными проколами) объяаление, не добовляется, ошибку не показывает, шо за нах... Нервирует P.S. Так и не смог добавить и забил! Врядле сайт с таким добовлением будет популярен :) Каптча нереально приметивная :rolleyes: Я очень извеняюсь за флуд _http://doua.com.ua/207/ :D Каптча после добавления камента не удаляется тоесть за 1 и туже каптчу можно делать скоко хош и чего хош, я вот там тупо enter зажал :p Раскрытие пути _http://doua.com.ua/phpmyadmin/themes/darkblue_orange/layout.inc.php убери вобще нафиг phpmyadmin это и брут и ваще много чего плохого! Убери нафег! :mad: _http://forum.antichat.ru/showpost.php?p=613325&postcount=2 может у тебя и не покатит, н оя те говорю! Пряч его куданить чтоб никто незнал и невидел Я незнаю на сколько можно верить спайдеру, обычно он никогда не врёт, в общем вот http://savepic.ru/148629.jpg Хостинг дырявый :p |
Спасибо, Ponchik, очень круто ;)
Не могу сказать почему тебе не удалось добавить объявление, я увидел очень много тегов и кавычек, за время тестирования на Античате :) За примитивную капчу я не боюсь, а вот то что ты подметил такую хорошую возможность на для флуда - это пять! :) Цитата:
К сожалению - это от меня не зависит, хостинг не без ошибок. Конечно же никакого phpmyadmin у меня в каталоге нету. |
еще +0.5
_http://doua.com.ua/232/ *пиши конкретнее, что тут не так.. или снесу пост) |
Код:
За примитивную капчу я не боюсь, а вот то что ты подметил такую хорошую возможность на для флуда - это пять! |
x88x, не понял тебя, совсем)
Ponchik, я понимаю, что это возможно, но флуда нету ни на одном проекте где стоит эта капча. По моему мнению - если данная капча не была сломана, то более сложная не требуется. |
Цитата:
при вводе слова без пробелов, символов этак 1000 разъезжается дизайн - появляется горизонтальная полоса прокрутки (см ссылку в моем предыдущем посте) не бак конечно, но маленькая неприятность =) поэтому и +0.5 бага. |
x88x, а да, есть немного, я просто забыл потому что сразу удалил этот коммент :) Пасиб, плюс тебе)
|
Цитата:
Я его продам и уже 2 человека будут флудить или выложу в паблик тогда твоей доске капец. А попробуй еще кроме капчи сделать ограницение с 1 IP 1 сообщение в минуту. |
-=Zhenek=-, я понимаю потенциальную опасность. Но смена рисунка для капчи это минута, а вам распознавать заново фон - это намного больше времени. Заинтересованность не такая большая, чтобы постоянно распознаваниями заниматься. Проще фладить доски без капч или где черным по белому цифры написаны ;)
|
Ну вобщем то да, но фон это непроблема.. скриптец меня подкладку (фон) на белую. То есть тебе нужно сделать искажения или как на рапидшаре капча там картинки.. Тоесть например Буква и на ней висит какоенибуд животное... сходи и посмотри.. Вот это будет надежно и красиво =)
halkfild давайте вести обсуждения ближе к теме.. |
в том-то и дело, если начнут сильно ломится и не поможет смена фона (например, с узорами поставить), то можно изменить шрифт. В том числе и на котячий, который на Рапиде сейчас.
На уровне программирования это все не больше чем 20 минут. |
| Время: 00:33 |