 |
|
Модераторы: skyboy, MoLeX, Aliance, ksnk |
 
|
|
Возможен ли Hack ??? 
| Валерия |
|
|||
|
Опытный  Профиль Группа: Участник Сообщений: 598 Регистрация: 10.3.2007 Репутация: 3 Всего: 8 |
В сессии хранится айдишник сессии апача, а в апаче непосредственно инфа о переменных и их значених. Эту инфу, даже зная айди сессии никак, кроме как скриптом, вытащить нельзя. Но вот подставить в другой компьютер в куку айди этой сессии - легко. Т.е, например, даже если мы на этом форуме стащим куку и подставим её в другой комп (браузер) и запустим форум, то мы будем залогинены под тем логином, кука которого была скопирована. А бесконечное время жизни можно прописать как для кук так и для сессии апача. Это сообщение отредактировал(а) Валерия - 2.12.2008, 18:28 |
|||
|
||||
Загрузка ...
| APro |
|
|||
 Опытный Профиль Группа: Участник Сообщений: 328 Регистрация: 5.12.2006 Репутация: 1 Всего: 1 |
Sanchezzz, согласен с тобой!
Валерия, было бы всё так просто, этот форум давно бы уже взломали! Да и вообще любой сайт построенный на сессиях и т.п. -------------------- Никогда не спорь с дураком, другие могут не заметить между вами разницы. Чем реже открываешь рот, тем меньше слышишь глупостей. |
|||
|
||||
| nerezus |
|
|||
 Вселенский отказник Профиль Группа: Участник Сообщений: 3330 Регистрация: 15.6.2005 Репутация: 12 Всего: 43 |
Но вырезание <scrip> не вырезает скрипты. Этого далеко недостаточно, чтобы вырезать скрипты. |
|||
|
||||
| ksnk |
|
|||
 прохожий Профиль Группа: Комодератор Сообщений: 6855 Регистрация: 13.4.2007 Где: СПб Репутация: 96 Всего: 386 |
APro, Сила сессий не в этом.
 , а в том, что стащить живой sessid достаточно сложно. Если это становится простым, то и ценность такой защиты уменьшается до нуля.
Я надеюсь, что авторы этого форума не позволяют любому юзеру размещать исполняющиеся скрипты на страницах форума ;-) -------------------- Человеку свойственно ошибаться, программисту свойственно ошибаться профессионально !  |
|||
|
||||
| Валерия |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 598 Регистрация: 10.3.2007 Репутация: 3 Всего: 8 |
Дык, проблема в том, что этот форум не даёт написать <script></script> подобные теги, из за этого и не взламывается) достаточно просто заменять < и > на их кода Кстати, подобные форумы уже не раз взламывали таким образом, и прочие другие сайты. Не совсем давно на яндекс почте нашли как в теле письма выполнить джаваскрипт, отправляли письмо комуто, тот его читал, сниффер получал куку, её себе ставишь, и у тебя доступ) Почитай побольше про XSS, например на antichat.ru |
|||
|
||||
| nerezus |
|
|||
|
Вселенский отказник Профиль Группа: Участник Сообщений: 3330 Регистрация: 15.6.2005 Репутация: 12 Всего: 43 |
/me там СМ |
|||
|
||||
| skyboy |
|
|||
|
неОпытный Профиль Группа: Модератор Сообщений: 9820 Регистрация: 18.5.2006 Где: Днепропетровск Репутация: 75 Всего: 260 |
javascript можно вставить и в onclick/onmousemove, например. ты правильно говоришь, но делаешь нажим на <script>. А надо вычищать все. Как и говорит nerezus. |
|||
|
||||
| nerezus |
|
|||
|
Вселенский отказник Профиль Группа: Участник Сообщений: 3330 Регистрация: 15.6.2005 Репутация: 12 Всего: 43 |
<img src="javascript:alert('bebebe')"> вот без <script> пример.
|
|||
|
||||
| Валерия |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 598 Регистрация: 10.3.2007 Репутация: 3 Всего: 8 |
Однозначно если все < и > позаменять, то ничего не выйдет)
Разве что если свои теги будет добавлять, например в квадратных скобках, то через них) |
|||
|
||||
| Wolf1994 |
|
|||
|
Эксперт Профиль Группа: Завсегдатай Сообщений: 1701 Регистрация: 5.10.2004 Репутация: 7 Всего: 29 |
То есть, если указать коды символов "<",">" можно выполнить скрипт? Как с этим бороться? htmlcpecialchars помогает? Добавлено через 9 минут и 59 секунд Проверил - помогает |
|||
|
||||
| Валерия |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 598 Регистрация: 10.3.2007 Репутация: 3 Всего: 8 |
Я имела ввиду если пользователь вводит текст с какойто формы, и к принятой скриптом переменной применить mysql_real_escape_string для защиты от sql инъекций, и заменить > на > а < на < для предотвращения XSS то твой сайт через это НИКАК не хакнут.
|
|||
|
||||
| theworldcreator |
|
|||
 Опытный Профиль Группа: Участник Сообщений: 362 Регистрация: 25.8.2007 Где: Москва Репутация: 10 Всего: 13 |
||||
|
||||
| APro |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 328 Регистрация: 5.12.2006 Репутация: 1 Всего: 1 |
theworldcreator, nice
-------------------- Никогда не спорь с дураком, другие могут не заметить между вами разницы. Чем реже открываешь рот, тем меньше слышишь глупостей. |
|||
|
||||
| Валерия |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 598 Регистрация: 10.3.2007 Репутация: 3 Всего: 8 |
theworldcreator, я вообще про такое не знала))) Классно)
|
|||
|
||||
| skyboy |
|
|||
|
неОпытный Профиль Группа: Модератор Сообщений: 9820 Регистрация: 18.5.2006 Где: Днепропетровск Репутация: 75 Всего: 260 |
theworldcreator, спасибо за ссылку.
над
ржал в голос. потому что пседозаслуга ИЕ - на самом деле отсутствие поддержки схемы, вполне стандартизованной и в некоторых случаях - полезной. т.е. "Неуловимый Джо, который никому нафиг не нужен" Ещё б про Lynx заговорили. |
|||
|
||||
|
|
| Правила форума "PHP" | |
|
|
Новичкам:
Важно:
Внимание:
Если Вам понравилась атмосфера форума, заходите к нам чаще! С уважением, IZ@TOP, skyboy, SamDark, MoLeX, awers. |
| 0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей) | |
| 0 Пользователей: | |
| « Предыдущая тема | PHP: Общие вопросы | Следующая тема » |
[ Время генерации скрипта: 0.0576 ] [ Использовано запросов: 22 ] [ GZIP включён ]
Реклама на сайте Информационное спонсорство
|
|
По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности Powered by Invision Power Board(R) 1.3 © 2003 IPS, Inc. |