אם יש לכם חבר שמשתמש ב
DB Manager
של ברינקסטר
ועושה שמה
Select
ואתם יכולים להכניס תתוים ><<<><>><><><<> לתוך המסד, אז ברגע שהוא י'בחר' את הנתונים מהמסד, הסוגריים המשולשים לא מתורגמים ל > &st;
אם אתם מבינים למה אני מתכוון
ראשי > אבטחת מידע > XSS בברינקסטר
אם יש לכם חבר שמשתמש ב
DB Manager
של ברינקסטר
ועושה שמה
Select
ואתם יכולים להכניס תתוים ><<<><>><><><<> לתוך המסד, אז ברגע שהוא י'בחר' את הנתונים מהמסד, הסוגריים המשולשים לא מתורגמים ל > &st;
אם אתם מבינים למה אני מתכוון
אני אפילו די בטוח שהוא לא אמור לעשות את זה....
בעע
המערכת שישנה על אותו חשבון....
בכל אופן הפואנטרה שלי שברינקסטר ב SELECT לא משנים...
זה לא אשמת ברינקסטר..
ובאתר אחר שימצא בברינקסטר זה יהיה חסום...
הSELECT אף פעם לא אמור בעצמו לשנות את התוכן של מה שמקבלים...
יו אתם לא קולטים?
אני אומר
שבד"כ רובב המערכות לא מונעות את ההכנסה של <>, במערכת אין באג, זה באג באתר ברינקסטר...
הם לדעתי מאוווד צריכים להחליף <> , מהסיבה הנ"ל... אם מישהוא עושה סלקט אז אפשר לדחוף לו XSS שיעשה בקלות כל מה שאתם רוצים במסד
לדוגמא לשלוח הודעה לפורום (אני סתם מנחש- אני לא עובד עם ברינקסטר)
<form action=query.asp name=form1>
<input name=query value="update tbl set bla='a'" type=hidden>
</form>
<script>document.form1.submit()</script>
הפורום בד"כ יכנסי את זה ככה, ורק מתי שהוא יקרא את ההודעה הוא ישנה
עכשיו שהמנהל יעשה SELECT בטבלה הזאת, הקוד יכנס לתוך העמוד ויתבצע
אפשר לשלוח form עם query מסוים לעמדו שמבצע את השאילתות..
מקווה שהבנתם למה הוא התכוון o_O
איך אתה לא קולט?
זה באג של האתר ולא ברינקסטר!!!
אף בסיס נתונים לא משנה בעצמו...
אם תעביר את אותו האתר עם הבאג לליקוס עדיין יהיה את הבאג...
אז מה? זה מדבק?????
למה לעזזל ברינקסטר צריך לשנות את זה?
ואם מישהו רוצה לבנות אתר שמאפשר לאחרים לערוך דפי HTML או נגיד רק למנהל...
אז הוא לא יוכל כי הבסיס נתונים מחליף לו כל פעם את <> בשטויות??
זה כמו שתגיד שהבאג בSERV-U זה אשמת ווינדווס, והם צריכים לא לאפשר בכלל לשלוח מידע...
מבחינה הגיונית, וגם יותר יעילה, ההחלפה של ה >< ל gt st צריכה להתבצע בעת שליפת התנותנים ולא הכנסתם!!
בפעם ה20!
אם ברינקסטר יעשו את ההחלפה איך לעזזל תעשה דף HTML דינמי אם הוא לא מסוגל לקורא <> נורמליים מתוך בסיס נתונים?
זה לא אחריות ברינקסטר! זה אחריות בעל האתר...
וכל הוסטינג שנותן חינם MYSQL גם כן לא יעשה את זה במקומך...