ANTICHAT.XYZ    VIDEO.ANTICHAT.XYZ    НОВЫЕ СООБЩЕНИЯ    ФОРУМ  
Баннер 1   Баннер 2

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.
Вернуться   Форум АНТИЧАТ > Оффтоп > Болталка
Перезагрузить страницу FF3 urlencode - баг или фича ?
   
Ответ
 
Опции темы Поиск в этой теме Опции просмотра

FF3 urlencode - баг или фича ?
  #1  
Старый 14.03.2009, 13:24
geezer.code
Reservists Of Antichat - Level 6
Регистрация: 22.01.2007
Сообщений: 616
Провел на форуме:
7452489

Репутация: 1359


По умолчанию FF3 urlencode - баг или фича ?
Эта тема появилась благодаря вот этому посту
https://forum.antichat.ru/showpost.php?p=1168547&postcount=5949

все видят инъекцию, а я не вижу.

была проведена небольшая проверка

FF2 - инъекция проходит

Оpera 9.60 - инъекция проходит

Chrome 2.0.157.2 - инъекция проходит


IE7 - инъекция проходит
Safari 4 beta - инъекция проходит

и самое интересное:

Firefox 3.0.6(win) - инъекция НЕ проходит

Firefox 3.0.1(Ubuntu linux) - инъекция НЕ проходит

На локальном сервере пробую запрос:
http://localhost/form2'.html?a='asdf'
лог запроса от FF3
Код:
 "GET /form2%27.html?a=%27asdf%27 HTTP/1.1" 200 728
лог запроса от Opera
Код:
"GET /form2'.html?a='asdf' HTTP/1.1" 200 728

Вывод: ff3 производит URL-encode всего запроса перед отправкой на сервер.
может это и фича, но для проведения sqli - это баг.

Просьба ко всем у кого фф3 попробовать у себя, и отписать в теме если результаты будут оличаться от моих.

зы
спасибо jokester, за помощь в тестировании.
Последний раз редактировалось geezer.code; 14.03.2009 в 13:35..
 
Ответить с цитированием

  #2  
Старый 14.03.2009, 13:42
m0Hze
Он хакер.
Регистрация: 01.11.2008
Сообщений: 1,756
Провел на форуме:
6462214

Репутация: 3171


По умолчанию
Встречался уже с таким,давольно давно,и помоему ктото писал....поэтому всегда есть опера
 
Ответить с цитированием

  #3  
Старый 14.03.2009, 13:56
[Dezzter]
Участник форума
Регистрация: 26.11.2007
Сообщений: 266
Провел на форуме:
3412198

Репутация: 341
По умолчанию
такая же хрень фф3
 
Ответить с цитированием

  #4  
Старый 14.03.2009, 14:11
gold-goblin
Познавший АНТИЧАТ
Регистрация: 26.03.2007
Сообщений: 1,095
Провел на форуме:
5265510

Репутация: 455


По умолчанию
фф linux 3.0.7 результат как у тебя
 
Ответить с цитированием

  #5  
Старый 14.03.2009, 14:33
rushter
Reservists Of Antichat - Level 6
Регистрация: 23.05.2008
Сообщений: 756
Провел на форуме:
9257858

Репутация: 979


Отправить сообщение для rushter с помощью ICQ
По умолчанию
я кстати тоже давненько это заметил,так что у меня тоже самое
 
Ответить с цитированием

  #6  
Старый 15.03.2009, 00:19
.Slip
Leaders of Antichat - Level 4
Регистрация: 16.01.2006
Сообщений: 1,966
Провел на форуме:
21768337

Репутация: 3486


По умолчанию
127.0.0.1 - - [15/Mar/2009:00:26:53 +0500] "GET /3.php?c=%27 HTTP/1.1" 200 27

Мда
__________________
..
 
Ответить с цитированием

  #7  
Старый 15.03.2009, 00:35
.Slip
Leaders of Antichat - Level 4
Регистрация: 16.01.2006
Сообщений: 1,966
Провел на форуме:
21768337

Репутация: 3486


По умолчанию
Пост/куки не енкодит, онли гет
__________________
..
 
Ответить с цитированием

  #8  
Старый 15.03.2009, 00:39
geezer.code
Reservists Of Antichat - Level 6
Регистрация: 22.01.2007
Сообщений: 616
Провел на форуме:
7452489

Репутация: 1359


По умолчанию
сейчас выкачиваю сорцы ff3, интересно взглянуть на этот чудо-код.
 
Ответить с цитированием

  #9  
Старый 15.03.2009, 22:46
geezer.code
Reservists Of Antichat - Level 6
Регистрация: 22.01.2007
Сообщений: 616
Провел на форуме:
7452489

Репутация: 1359


По умолчанию
в общем скачал сорцы ff3.0.7 и вот что вижу
Код:
NS_IMETHODIMP
nsIsIndexFrame::OnSubmit(nsPresContext* aPresContext)
{
...
  // Begin ProcessAsURLEncoded
  nsAutoString data;

  nsCOMPtr<nsIUnicodeEncoder> encoder;
  if(NS_FAILED(GetEncoder(getter_AddRefs(encoder))))  // Non-fatal error
     encoder = nsnull;

  nsAutoString value;
  GetInputValue(value);
  URLEncode(value, encoder, data);
  // End ProcessAsURLEncoded
...
}
как и предполагалось принудительное кодирование в урл безопасные символы.
Последний раз редактировалось geezer.code; 15.03.2009 в 22:55..
 
Ответить с цитированием

  #10  
Старый 07.04.2009, 23:03
Godfather Bulan
Постоянный
Регистрация: 18.03.2008
Сообщений: 411
Провел на форуме:
7469280

Репутация: 2389
Отправить сообщение для Godfather Bulan с помощью ICQ
По умолчанию
Firefox 3.1b3
НЕ проходит
 
Ответить с цитированием
Ответ



« Предыдущая тема | Следующая тема »
Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Интервью с сотдрудником отдела "К" elimS2 Мировые новости 69 12.11.2009 18:02
Хакерский сленг Utochka Болталка 18 20.06.2007 12:24
Подскажите Баг или просто ошибка ? What ? Уязвимости 0 26.10.2006 18:57
Баг античата, или моего компа... Ponchik Болталка 6 18.04.2006 12:20
Я НАШЁЛ _НЕЧТО_ В Ie!!! БАГ ИЛИ ШАЛОСТЬ? Думаем вмсесте... _kREveDKo_ Soft - Windows 6 15.04.2006 03:21



Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
 


Быстрый переход




ANTICHAT.XYZ