hashcracking.ru
 

Прошу проверить на уязвимости.
Ссылку проверки разместил (внизу), двиг самописный.

http://hashcracking.info/test.php . доступ к конфигурационной информации

-=lebed=-
Не пойму добавить можно что попало?
Забил в поле ввода такой текст(через Odysseus)
'Ссылки, Новости мира "железа", Сотовый фрикинг, Железо, Схемы и программы, Телефония и связь, Безопасность беcпроводных сетей (Wi-Fi, Blu'
пишет мне хеш, страница уехала влево пишет спасибо добавил
Т.е туда можно войну и мир впихнуть?

Директории доступные для просмотра:

http://hashcracking.info/icons/
http://hashcracking.info/files/

Раскрытие пути
Warning: htmlspecialchars() expects parameter 1 to be string, array given in /var/www/localhost/htdocs/index.php on line 253
post
hash[] любой хеш
Кстати pass[]- пишет пароль Array уже есть в базе :D
Что-то подозрительно

http://i015.radikal.ru/0805/01/1b66e59ece9c.gif


Ссылки по теме :


http://www.apache.org/dist/httpd/
http://httpd.apache.org/info/security_bulletin_20020617.txt
http://www.cert.org/advisories/CA-2002-17.html

Blind SQL/XPath injection
Файл: index.php
Переменные:
mail
md5md5
login
submit
ta

Ты бы исходники выложил, а то ковырять два поля для хешей и два поля для логина оно как то глупо, согласен?

хм.. влом читать от первой страницы, может уже обсуждалось.

Добавил кто-то в очередь хеш скажем такой:

2008-09-18(7617):11978c2f3cd1d52b67b4df9fdf782bee:m1g2m3

Я его отбрутил, вижу что пароль легкий и короткий, но все-таки решил его добавить, чтоб в очереди хеш не висел. И насколько понял ни пароль не принялся, так как короткий, ни хеш не удалился. Не плохо сделать бы чтоб сначала проверялся критерий наличия хеша, а потом критерий пароля. Если пароль не удовлетворяет критерий - снести хеш с очереди.

И вторая пропозиция, не знаю реализована ли она. Если пользователь зарегистрирован и добавил хеш в очередь, чтоб ему на мыло приходило сообщение о том, что его хеш отбручен - когда он действительно будет отбручен.

upd: насчет очередей вижу я что-то недосмотрел. уже все норма. отбрутилось сразу около 20 хешей, все легкие. когда решил добавить пароли - ничего не добавилось

сервис не погиб, просто состоялся переезд на новый адрес https://hashcracking.ru