Securitatea unor site-uri lasa de dorit

w31rd0 · Mesajde **w31rd0** » Dum Apr 17, 2005 11:17 am

beeuser · Mesajde **beeuser** » Dum Apr 17, 2005 3:53 pm

Ai dat de un admin care n-a configurat serverul web cum trebuia.

alterego · Mesajde **alterego** » Dum Apr 17, 2005 6:10 pm

Daca usurinta cu care poti scrie peste datele de pe acel server, e o chestie de configurare, eu l-as da afara pe acel imbecil. Dar problema nu e un singur site ci zeci de site-uri care sufera de aceeasi scapare...

arond · Mesajde **arond** » Dum Apr 17, 2005 10:30 pm

alterego · Mesajde **alterego** » Lun Apr 18, 2005 10:31 am

Iata un exemplu deloc periculos :

http://top.agonia.net/install.php

Pirahna · Mesajde **Pirahna** » Lun Apr 18, 2005 5:13 pm

pai u need user si pass de la mysql ...

n-au voie oamenii sa tina scriptul de install online ???

w31rd0 · Mesajde **w31rd0** » Mar Apr 19, 2005 7:19 am

Emil · Mesajde **Emil** » Mie Apr 20, 2005 12:04 am

E bine sa notifici webmasterul acelui site insa de multe ori te lovesti de ignoranta sau deseori, in cazul site-urilor romanesti mai ales, te lovesti de amenintari.Nu ma poate acuza nimeni ca testez securitatea unui site, ca-mi place sa ma joc cu parametrii unui url, deh, sunt curios din nastere.

Caz concret, BetaNews.com - un flaw banal pentru un site cu pretentii cum este acesta -> http://fileforum.betanews.com/releases?num=50
Orice programator php cu cunostinte basic vede acel "num=50", daca va ganditi la ce m-am gandit eu, aveti dreptate, nu e nici un limit pentru a proteja inlocuirea acelui $_GET['num'], daca puneti 5000000 va functiona, ce se intampla daca 1000 useri acceseaza acel url cu 5000000 in loc de 50 e lesne de inteles.
Am trimis un email la betanews acum mai bine de o luna, am primit un reply cu "saru'mana, multumim, vom fixa" dar bug-ul inca persista.

Am intalnit si eu o serie de cazuri in care erau gauri serioase de securitate (aici ma refer doar la securitatea scripturilor PHP). Uneori a avut efect alteori nu, cel mai bine e sa dai un mail de notify, sau cel mai bine, sa ignori, sperand ca daca vreodata vor suferi un atac, vor invata din greseli, unii scapa, altii ba :mrgreen:

johnny · Mesajde **johnny** » Mie Apr 20, 2005 3:27 pm

un caz similar:
am sesizat o problema similara unui site, care continea un director de terenuri de golf din SUA, aveau acceasi problema cu limita...
am sesizat si le-am expus problema, si le-am mai mentionat ca exsita pe site-uri de freelance cereri pentru asemenea site-uri [clone], si ca o copie a informatiilor existente ar fi foarte usor de obtinut si sa repare...
Nu au reparat si mi-au trimis un mail din care am tras concluzia ca eram suspect de a fi craker [unde am gasit linkul - loool, si alte alea...] ... uite multumescul...

phpweb · Mesajde **phpweb** » Joi Apr 21, 2005 9:09 am

Radical · Mesajde **Radical** » Joi Apr 21, 2005 4:38 pm

phpweb · Mesajde **phpweb** » Lun Apr 25, 2005 11:11 am

Pirahna · Mesajde **Pirahna** » Lun Apr 25, 2005 11:59 pm

phpweb · Mesajde **phpweb** » Mar Apr 26, 2005 9:43 am

Securitatea unor site-uri lasa de dorit

Securitatea unor site-uri lasa de dorit

Cine este conectat