спасибо за обнаруженные глюки.
Сообщение от
mr.The
он не сокращает рускоязычные домены.
было связано с проверкой корректности url. исправил. теперь туплю какого черта в базу пишутся вопросительные знаки когда я черным по белому везде колировку cp1251 прописал, что в поле таблицы, что в таблице. что в базе. что collation_connection ... раньше такой фокус работал...
Сообщение от
mr.The
А потом - домен слишком длинный для shorturl. Имхо.
ну в этой зоне минимум 3 символа - ограничение администратора домена. а вообще какая разница, лишь бы правильно раскрутить.
Сообщение от
mr.The
_ttp://fbi.pp.ua/?do=setlang&lang=ua123
некорректый язык не обрабатывается. чувствую, там error_reporting(0);..
за проверку спс но там если язык не соответствует одному из существующих lang файлов то берется default без вывода сообщений об ошибке.
Сообщение от
mr.The
c логином "testtest<b>123</b>" можно зарегистрироваться, но нельзя войти.
fixed. нельзя зарегистрироваться =)
Сообщение от
BlackFan
Пассивная xss при отображении созданной ссылки
Активная xss в My URLs
Уязвимый параметр "Короткая ссылка"
Как следствие возможности сохранить html в базе. прикрыл.
Сообщение от
BlackFan
Пассивная xss при регистрации с ошибкой (Например, если неправильно ввести каптчу)
есть
Сообщение от
BlackFan
Раскрытие содержимого каталога
http://fbi.pp.ua/images/
http://fbi.pp.ua/captcha/
тестил на локалхосте, забыл что серв выдает листинг...
Сообщение от
BlackFan
Можно сделать ссылку, которая редиректит сама на себя.
идея хорошая, не предусмотрел...
Сообщение от
BlackFan
Можно сделать ссылку со своим коротким именем без регистрации.
спс, исправил
Сообщение от
BlackFan
И капча какая-то неадекватная)
На капче ясно написано расставить символы в определенном пордке. Это чтобы антикапча не была перегружена
Сообщение от
eLWAux
автор, ты про сессии в пехопе слышал?
слышал, но так интереснее
Сообщение от
eLWAux
зарегатся так и не смог, капчу не принимает
Символы расставлены в нужном порядке?
вот это по ходу тот самый глюк который у меня ни разу не проявлялся... надо както его выловить
после открытия страницы регистрации в другом окне браузера не открывали другую страницу регистрации или abuse report?