Прошу проверить скрипт
 

http://alhimiya.in/shop/index.php

Незнаю почему предыдущую тему удалили. Вот решил запостить заного...


http://alhimiya.in/shop/ проверять только,то что находится в этой папке... http://alhimiya.in/ сюда можно не лезть тут залиты файлы джумлы,в них нет ниче интересного...


Дизайн магазина сперт у укоза,но это временно пока мне разрабатывают дизайн..

Даю для пробы аккаунты:

user:qwerty

Логи не ведутся, временно отключил для вас =)) ..

Заранее спасибо....

Невозможно найти удаленный сервер

В гостевой можно проинжектить html код в поле mail.

Спасибо исправил....

да нет.. все работает... Может у вас че с инетом?? Попробуйте еще раз :-)

Капча очень простая и распознаеца элементарным алгоритмом с пробивом почти 100%. И маленькая очень ( ну это уже дизайн и удоство:) ).

з.ы. маленькая в смысле мелкая...ну т.е. просто размер картинки)

Мне некоторое время назад продавец этого движка давал его на проверку, так вот там скули были везде... тоесть фильтрации небло некакой. Незнаю, исправленны тут скули илил нет. Условие их работы magic_quotes=off а тут на хосте "on"

Mobile все переменные проходят через mysql_real_escape_string . Думаю скуль быть недолжно, но всетаки неуверен...

P.S я тебе его и давал на проверку...

Покупка совершена!
Куплено:
gamzaev-ilyas@mail.ru:xxx655
Jura1975@mail.ru:xxx2007
alinchik.v@mail.ru:xxx4
andrey_2007.dom@mail.ru:xxx93184
a.gavin@mail.ru:xxx68
amkosss@mail.ru:xxxju
art.home@mail.ru:xxxa
kioma-92@mail.ru:xxxin
demas11@mail.ru:xxx1298
katerina_rozovik@mail.ru:xxxzik

xxx - это я заменил
потянет на уязвимость?

Да,но как ты это сделал????

они не числятся в списке купленных... Получается доступ к базе..

Напиши в ПМ каким образом?


А капчу я потом переделаю.. тут 2 мин работу..Поставлю ккапча и все))))

Блин.. репутацию поставил а она флагом желтым((наверно молодой я тут еще))))

Подозрение на SQL inj
http://alhimiya.in/shop/index.php?do=buy
Очень страно себя ведёт... Пишу 1 пишет нет средств, пишу 1+ORDER+BY+1/* снова нет средств пишу 1+ORDER+BY+111111111/* и опять таки нет средств, intval? Но я пишу 0, оно ничё не выводит, пишу 0/* пишет Покупка совершена! М? :)
==============
После добовления месаги в отзывы надо перекидывать юзверя, если обновить страницу снова добавится отзыв
==============
В ПМ каптча не обновляется, хоть 100 месаг за 1 каптчу можно + таже байда что в отзывах, Crl+R = +1 сообщение, после добовления надо удалять каптчу
==============
Подозрение на SQL Inj
http://alhimiya.in/shop/index.php?del=2&id=65 - так удаляет
http://alhimiya.in/shop/index.php?del=2'&id=65 - так нет
Щупать влом
==============
В табле "Заказать" всёвремя написано "Вы заполнили не все поля!" да я их и не собирался заполнять :rolleyes:
==============
Х**себе
http://alhimiya.in/shop/index.php?del=3&id=1
Пользователь успешно удалён? :eek:
==============
XSS
http://alhimiya.in/shop/index.php?do=cards
И ваще помоему это админское

Добавил денег
Случайно вышел, войти немогу т.к. удалил пользователя

/me валяеццо :D :D :D :D

То что ты туда вводишь проходит черер mysql_real_escape_string , но спасибо.. это исправлю обязательно...

-=Zhenek=-, ты чё! Числа надо пропускать через intval() а если mysql_real_escape_string то надо брать в MySQL в ковычки число, mysql_real_escape_string не поможет от SQL Inj с цифрами, только со строками поможет, а чтоб сделать число строкой как я уже сказал бери его в MySQL в ковычки

Во избежания возникновения баянских вопросов:
ты делаеш так
$s = mysql_real_escape_string($_GET['s']);
mysql_query("SELECT `a`,`b`,`c` FROM `lol` WHERE `id` = $s");
передаём в s "-1+UNION+SELECT+1,2,3/*" скуля! Чтоб этого небыло либо
$s = intval($_GET['s']);
либо
mysql_query("SELECT `a`,`b`,`c` FROM `lol` WHERE `id` = '$s'");

Я пацталом )) ты админа удалил)))))

А все это из-за того ,что я когда обновлял допустил ошибку.. удалял функции и редактировал и случайно в сравнении удалил одно равно.. вот и получилось что удалять могу все)))

Да. у меня оно было взято в '' но для безопасности сделал еще и intval. Спасибо..

Еще коечто.. Зачем флудить вгостевой?? там появилось 10 сообщений "Мама где я" проверил в базе просто тупые сообщения... Если повторится буду вынужден включить логи и смотреть с каких IP оставляют сообщения и банить.... Мне жаль..но если так свинячите....


Исправил

Забыл добавить проверку..


Все исправил.... Жду дальнейшего теста...

Всё ещё можно удалять карты
http://alhimiya.in/shop/index.php?del=6&id=1

Насчт флуда я непонял, кому это надо нам или тебе! Видетели ему 10 сообщений ненравятся так не проси тогда больше никого чекать твои сайты и пусть пользователи гуляют с 10 милиардами на счету и всё! ппц как меня это взбесило! Просят чекать потом ещё ненравится чёто!
Это наглость, ничего не платиш за проверку ещё и условия ставиш! Плати бета тестерам и ставь им условия чтоб на возможность флуда и спама не проверяли сайт
Дальше чекай сам

Вот именно ты непонял..

Это не тест, это просто сообщения в них даже не пытались html код поставить...Просто написали и все..
Остальные с попытками я сотнями удаляю из базы ежедневно они пусть нежалко....


А таких флудовых сообщений да еще и с матами немало... Их больше чем тестовых...А кто балуется? я вот незнаю. кто потому, что отключил логи, чтоб вам спокойнее было...