Сейчас разбираюсь с куками и заметил одну замечательную дыру в этом чате.
Попробуй в поле логин, при входе в чат ввести такую строку _admin_. Затем ты увидешь запрос на ввод логина и пароля админа, введи любой логин и любой пароль и ты попадёшь в раздел администрирования.
По идее после первого ввода логина и пароля админа прога должна была сохранить их в файл, для последующих проверок.
ОК, пробую зайти ещё раз, ввожу абсолютно другой логин и пароль и что ты думаешь? Я успешно попадаю в админовку. ;)
Короче суть этой басни такова, к администрированию может получить практически любой юзверь.
Код написан ужасно, стиль программирования ужасный. Поясню, что-бы не быть голословным:
1. use strict - отсутствует напрочь.
2. Практически все переменные - глобальные.
3. Практически весь чат построен на условиях if ( ... ) { ... } else { ... }, что сильно затрудняет чтение программы. Два файла переводил в читабельный вид целую ночь. Да и когда в программе используется такое кол-во условий, это считается плохим стилем.
4. За пол часа просмотра кода обнаружил 1 дыру. Интересно сколько их ещё?
5. Модули такие как CGI.pm отсутсвуют, а он был бы очень полезен, Но автор программы решил всё писать руками. Только не понятно зачем.
Вобщем, здесь не куки нужно настраивать а как минимум пол программы переписывать. Но если хочешь я конечно настрою куки, но на всю прогу времени к сожелению не имею.
Напиши стоит их вообще настраивать, как по мне так это лишняя трата времени. Чат - дырявый. |
, то примерно так:
