Помогите потестить...

[[slon]]

Помогите потестить...

Запустил очередной ресурс: www.banda.lv

Хотел просить многоуважаемое сообщество потестить мою писанину. Единственная просьба, если это возможно - сильно не ломайте. а?

P.S. Я не волшебник, я только учусь...

 

[inTox]

var $Host = "localhost";
var $Database = "";
var $User = "[сам знаешь]";
var $Password = "[сам знаешь]";

 

[[slon]]

кхм... и как?

 

[Апокалипсис]

1.База ругается на кавычки ''
2.http://www.banda.lv/c/fdb.inc не защищён и видны имена файдов...

P.S.Это то что я увидел за 2 минуты...

 

[Апокалипсис]

кхм... и как?

Имя файла мы узнали по ошибкам в пхп коде...

 

[inTox]

Имя файла мы узнали по ошибкам в пхп коде...

точно.

 

[Ямерт]

2intox: Угу, на это и я тоже набрёл.
[slon], у тебя коннекции к базе ограничены на localhost?
Иначе тебе можно много гадостей наделать, особенно если у этого SYSDBA большие полномочия.

 

[[slon]]

Автор оригинала: Апокалипсис
1.База ругается на кавычки ''
2.http://www.banda.lv/c/fdb.inc не защищён и видны имена файдов...

1. В какой форме, не проходят кавычки?
2. Fixed

 

[Апокалипсис]

1. В какой форме, не проходят кавычки?

'тест' или ')+alert(' по ним я и узнал имя файла

 

[Ямерт]

intval() рулит

 

[[slon]]

Автор оригинала: Апокалипсис
'тест' или ')+alert(' по ним я и узнал имя файла

Fixed

 

[Апокалипсис]

Так же в полях регистрации кавычки тоже создают ошибки.

 

[inTox]

2[slon]
И в директории http://www.banda.lv/c/
ты как нить разруливай, а то заходи уто хочешь... бери что хочешь... Лучше настройки в паролями выносить в отдельный ЗАЩИЩЕННЫЙ файл.

 

[[slon]]

Автор оригинала: inTox
2[slon]
И в директории http://www.banda.lv/c/
ты как нить разруливай, а то заходи уто хочешь... бери что хочешь... Лучше настройки в паролями выносить в отдельный ЗАЩИЩЕННЫЙ файл.

Закрыл уже. Всю дир.

 

[inTox]

Век живи, век учись.
(с)народная мудрость.

 

[[slon]]

Автор оригинала: Апокалипсис
Так же в полях регистрации кавычки тоже создают ошибки.

Fixed

 

[Апокалипсис]

http://www.banda.lv/comments.htm?post='

и все подобные ссылки которые идут к базе...
Подделкой ссылок конечно тут сломать мало чего - можно, но вот лог - ошибок если такой ведётся будет пополнятся и пополнятся...

 

[Ямерт]

но вот лог - ошибок если такой ведётся будет пополнятся и пополнятся...

Ну и? Типа винчестер переполнится от логов, и настанет полный пердимонокль?

 

[[slon]]

Автор оригинала: Апокалипсис
http://www.banda.lv/comments.htm?post='

и все подобные ссылки которые идут к базе...
Подделкой ссылок конечно тут сломать мало чего - можно, но вот лог - ошибок если такой ведётся будет пополнятся и пополнятся...

fixed...

Тааак, задом чую, надо мне немного о security почитать...
Подскажите, где найти полезные материалы по теме?

 

[Апокалипсис]

В форуме PHP&Security

Ну и? Типа винчестер переполнится от логов, и настанет полный пердимонокль?

Было дело. Лог - файл занял 1 - гигабайт и сервер глюкануло...