Logo

רד-בורד: ארכיון

ראשי > אבטחת מידע > אינג’קשיין בבסטסייטס או שלא.?!

08/07/2006 22:45:28 ExclusiVe
טוב אולי הרבה מכירים אבל יש אינג’קשיין במערכת IPS שבסטסייטס משתמש בא...

ממ אם לנסות להשים פסיק קטן אז ישר נותן שגיאות וגם חושף קצת מהשאילת עצמה..

דוגמא:
קוד:http://bestsites.co.il/index.php?act=page&id=3’

ממ אבל זה לא ממש נותן לעשות משהו אם לנסות משהו פשוט עם UNION זה יעביר לחברת האיכסון שלהם
קוד:http://bestsites.co.il/index.php?act=page&id=UNION

כמו כן גם אפשר לראות עוד משהו אם להחליף את הID של הקטגוריות במשהו שלא קיים זה יריץ שאילה אבל לא יוציא כלום מהמסד..

קוד:http://bestsites.co.il/index.php?act=site_list&category=5
כמו שאמרתי לא הצלחתי לעשות כלום יכול להיות שמישהו יצליח לא ניסיתי הרבה :\
08/07/2006 23:09:59 SkOd
כבר אמרתי לך, SPD מפעילה הגנה, ואי אפשר להכניס "UNION SELECT" בכתובת...
צריך לנסות להשיג את המידע עם substr וכאלה...
08/07/2006 23:11:14 ExclusiVe
מממ את החלק השני של המשפט לא סירפת לי..
אתה יכול לפרט יותר?
08/07/2006 23:15:27 Sin
אתה נוב?? (מסתבר שכן)
אתה לא רואה שם נגיד שגיאה של SQL
הם עשו את on error resume next
משהו כזה ~_~ וסיננו תווים
08/07/2006 23:18:14 ExclusiVe
אני לא אמרתי שאני leet איפה אתה רואה סינון תווים ...?
08/07/2006 23:21:31 Sin
~_~ בהתחברות
ואתה עוד ירדת על דרקולה...
08/07/2006 23:22:29 ExclusiVe
מה הקשר להתחברות?
08/07/2006 23:23:04 devil kide
סין, כנראה שז לא נותן להכניס שאילתות, רק (כנראה בטעות) א התו ’.

08/07/2006 23:23:50 Sin
זה כבר הופך להיות הודעות ביני ובינך
אין לי כוח אליך...
בהתחברות LOGIN
כשאתה מתחבר לאתר... אז הם סיננו תווים כמו ’ ; וכ’ו
08/07/2006 23:25:54 devil kide
כמו שאמרתי, וגם אני בשיחה.
08/07/2006 23:26:56 ExclusiVe
אוךך אין לך כוח עליי איך אני לא אוהב את המתנסאים האלה....לא דיברתי בכלל על ההתחברות בכלל בדקת מה פירסמתי..?
08/07/2006 23:34:36 SkOd
ציטוט:מממ את החלק השני של המשפט לא סירפת לי..
אתה יכול לפרט יותר?
כך דוגמה:
זה יציג לך את הדף שה name שלו מתחיל ב "פ" (פרסים):

http://bestsites.co.il/index.php?act=page&id=-1’+Or+’1’=’1’+And+substr(name,1,1)=’%F4

וזה יציג את הדף ש ’name’ שלו מתחיל ב "א" (אודות):
http://bestsites.co.il/index.php?act=page&id=-1’+Or+’1’=’1’+And+substr(name,1,1)=’%E0



08/07/2006 23:36:05 ExclusiVe
כבוד... =]
עמודים: 1