| Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате |
| Форум программистов > PHP: Для профи > Просьба протестировать |
| Автор: Astraller 28.11.2007, 11:41 |
| Просьба протестировать мою CMS на предмет дыр. http://www.museum-of-money.org/ После неприятного случая сегодня, прошелся по всем скриптам и прикрыл дыры. Хочу быть уверенным. Помогите пожалуйста. Заранее спасибо. |
| Автор: CyClon 28.11.2007, 14:11 |
| Сайт - сплошная дыра. Самый жоский баг, который я нашел на второй минуте - отсутствие фильтрации имени пользователя в скрипте регистрации (Например, я смог зарегистрировать пользователя с логином "<script>alert('XSS')</script>". Дальше не искал  ЗЫ: Еще сделай display_errors off. |
| Автор: Astraller 28.11.2007, 14:38 |
| CyClon, все исправил. Спасибо. Если не затруднит - посмотрите еще. |
| Автор: CyClon 28.11.2007, 15:33 |
| Попробуй прогнать свой сайт через всевозможные скрипты поиска дыр. Я тут бессилен, ибо знаком со взломом сайтов только лишь со статей, никакой практики. Исключительно потому, что для того чтобы защитить свой сайт - нужно знать о большинстве методов взлома. Добавлено через 1 минуту и 43 секунды ЗЫ: Очень рекомендую всем писателям своих CMS сначала прочитать журнал Хакер Спец, #73 помоему. Там освещаются все наиболее популярные методы взлома сайтов и борьба с ними (PHP-Inc, SQL Injection, XSS). |
| Автор: Astraller 28.11.2007, 16:19 |
| CyClon, а примеры скриптов/программ для поиска дыр можно? А то большой G что-то ничего удобоваримого не выдал. |
| Автор: CyClon 29.11.2007, 09:53 |
| http://www.xakep.ru/magazine/xs/075/ Где-то тут обзорчик был. |