zastrzyki sql

[ble34]

magic_quotes_gpc potrafi utrudnic zycie 80% script-kiddies
no własnie to jest zabespieczenie wpewnym stopniu

mowisz ze dasie zmanipulowac tą opcje podaj i przykład takiego zapytania

nieto zeebym ci niewieżył ale jesli znak < jest zmieniony na / to wjaki sposub chcesz wstawic znacznik skryptu czyli np <script> ,<?php itd


[EDIT by TQM]: Sorry ale nie moglem sie powstrzymac i polaczylem kolejne 7 postow ble34 w jeden...[/EDIT]

nieto zeebym ci niewieżył ale jesli znak < jest zmieniony na / to wjaki sposub chcesz wstawic znacznik skryptu czyli np <script> ,<?php itd


wycofuje ta linijke jebnołem bąbe

Nastepny:

ale wżmy formulaz logowania na stronie www.fotka.pl

w url wpisz sobie www.fotka.pl/login.php?login=<script type="text/javascript">alert(bzzzzzz);</script> rezultaty były takie

>alert(\'bzzzzz'\)</script>


powiadomiłem admina i przykład jest juz nieaktualny teraz wogole usówane sa wszystkie znaki specjalne i zostawione tylko alfanumeryczne

ale to obrazuje efektywnosc magic quotes gpc

a jak mozna ja iominac to faktycznie niewiem

Nastepny:

gdyby nie owa opcja to strona była by bez bronna nawet jesli chodzi o ataki skrypciazy czy lamerow anwet ludzi ktorzy niewiedzą totalnie nic a przeczytali artykuł podtytułem np ataki xss

ale dobra bo ta rozmowa po mału z chodzi na inne tory podaj przy kład albo linki do mataeriałów ktore pomogoł mi zrozumiec jak ta męczocą opcje oszukać

Nastepny:

albo nie niec hce zdnuych przykładów :r olleyes: sama znajde czego szukam

Nastepny:

a swoją droga w błedzie xss który "znalazłem"
na stronie opartei o php nuke jest właczona opcja magic_quotes_gpc=on i powinan zmieniac ona znaki we wszytkich formulazach bo taka jest jej natura
i zastanawiajace jest to dlaczego akórat w tym formulażu
modules.phpname=coppermine&file=albmgr&cat=

niezmienia jeśli ktos wie to prosze o odpowiedz

Nastepny:

<script type="text/javascript">alert(document.cookie);</script> a przeciez powinna i gdyby to zrobiła efekt powinien byc taki <script type=\\\alert(document.cookie)</script> taki jesyt w przypadku innych formularzy z tei strony www a dleczego w przypadku tego skrypt zostaje wykonany to ja niewiem

Nastepny:

a może ja sie da poprostu właczy dal wybranych formularzy(ale to by był lekki bezsens według mnie) apozaty ztego co sie orientuje to jes t opcja ogólna i powinna zmieniac zanki w danych wprowadzanych do wszystkich formularzy


okej temayt jest zamkniety juz dlamnie bo zaczełem sie niepotzrebnie zagłebiac i pisac tu swoje przemyslenia

a odpowiedzi sa w necie

[TQM]

No to po kolei ale najpierw prosba - ja wiem ze schizofrenia to taka fajna choroba bo nigdy sie nie jest samemu, ale badz laskaw uzywac przycisku EDIT przy swoich postach jesli masz zamiar prowadzic taka dyskusje gdzie dopisujesz po linijce do swoich wlasnych postow. Robienie smietnika tylko utrudnia wymiane informacji zamiast pomagac w czymkolwiek.

Wracajac do tematu magic_quotes_gpc - po raz kolejny chcesz udowodnic, ze masz racje gdy jej nie masz. Zobacz do definicji ktora wkleilem tutaj z manuala PHP za co odpowiada magic_quotes_gpc. W tlumaczeniu na jezyk ojczysty:

Ustawia status magic_quotes dla operacji GPC (Get/Post/Cookie). Gdy magic_quotes jest wlaczone, wszystkie ' (pojedynczy cudzyslow), " (podwojny cudzyslow), \ (backslash) i znaki puste (NULL) sa poprzedzane automatycznie dodatkowym backslash'em.

Czyli nie ma to nic wspolnego ze znakami <, ?, = i innymi uzywanymi w skryptach javascript i atakach XSS.

Co do tego 'nie zebym ci nie wierzyl'... znak < nie zostanie w ogole zmieniony (patrz definicja wyzej), znak ' zostanie zamieniony na \', " na \" i tak dalej.

Podany przyklad z fotka.pl ma sens ale jesli magic_quotes jest ON to wtedy twoje cudzyslowy beda poprzedzone znakiem \ i PHP uzna je za fragment tekstu w zmiennej - wlasnie magic_quotes zrobilo to czego sie od niego oczekuje.

Co do omijania magic_quotes i tych 80% script-kiddies - 80% script-kiddies nie pomysli nawet o tym, ze znaki mozna przekazac w innej postaci, ktora PHP moze uznac za zupelnie dozwolone i nie poprzedzic znakiem \. Pozostale 20% script-kiddies wie ze mozna to obejsc i wie jak... tylko ze jesli autor programu dodal jedna malutka petle to ten atak tez nie zadziala i koniec kropka.

magic_quotes jest bardzo przydatne - jego definicja jasno mowi co ono robi a czego nie. Jesli chcesz dalej sie upierac ze zabezpiecza przez atakami XSS to zycze powodzenia.

[ble34]

do bra zaczełam grezbac w nocy przy tym php nuke i wygląda to tak

modules.php?name=coppermine&file=albmgr to moduł tworzenia albumów
na podatnej stronie w pole nazawa albumu w klehjam skrypt i zosatje on wykonanay mało tego pozniei kto kolwiek wejdzie w ten moduł widz cooki
ale na innych stronach opartych na php nuke tak łwtwo nie jest wyskakuje komunikat html tags not alowed próbowałem wstawic odpowiedzniki szesnastkowe ale wtedy sie nic niedzieje tzn album zostaje dodany ale skrypt nie jest wykonywany dobra wiec postanowiłem dodac komentarz w postaci <SCRIPT type="text/javascript">alert('Złośliwy kod!');<%2fSCRIPT>
efekt:<SCRIPT (...) kod!');<%2fSCRIPT>
podatna wersja to chyba Php-Nuke v1.3.1c znalazłem taką stronke Powered by Coppermine for Php-Nuke v1.3.1c
zaraz zrobie obczaike oł lol wogóle to trochwe wchuj stron na tym stoi heh

na nie których znich niby niemam dostepu do tworzenia albumów ale moze tak byc ze ta opcja jest aktywowana po jakims czasie zrreszta to samo w sobie jest juz podejrzane no i faktyczne jest jak sie nieustawi filtracji danych wejsciowych to skrypt zosrtaje wykonywany w nowszych wersjach tez

a jesli sie ustawi wyskakuje html tags not alowed
-------------------------------------------------------------------------------------
podejrzeewam ze jest to zależne od wersji php nuke ale pewnosci niemam
bo na podatnej stronie nie ma numeru wersji
to jest link do strony
http://www.belchatow.lpr.pl

-------------jak zwykle wszytko niepokoleji napisałem ide po pakiet anty depresyjny


w wersji Php-Nuke v1.3.1c chyba domyslnie niema ustawionei filtracji danych
dlatego na stronie lpr

[TQM]

Ok - no to generalnie idziesz w dobrym kierunku (z merytorycznego punktu widzenia) - ujmujac to technicznie. Twoje obserwacje sa tez prawidlowe - czesto ustawienie softu na serwerze moze zablokowac wiele rodzajow atakow - tak samo filtrowanie tresci i jej wewnetrzne kodowanie w systemie ktore dodal autor, potrafia skutecznie zablokowac takie ataki. Cala sztuka atakow XSS polega na tym, aby taki ciag (np. <script ...>) przeszedl przez filtr zawartosci w oprogramowaniu ale po odtworzeniu go i wyslaniu do wyswietlenia do przegladarki przegladarka musi go zinterpretowac.

Mowimy tu o prostym wyswietleniu komunikatu typu "UWAGA!!! Strona zawiera zlosliwy kod!" albo innych zartach. Do powazniejszych zastosowan droga nieco dluzsza ale co frajda z rozpracowania bledu to frajda :-)

UWAGA:
Uwazaj tylko na jedno - LPR lubi jak sie o nich mowi - nie wazne czy dobrze czy zle, wazne by bylo o nich glosno. Jesli zaczniesz dobierac sie im do stronki moga zrobic zadyme medialna wiec takie strony najlepiej omijac szerokim lukiem :-) Zdecydowanie sugeruje abys poszukal innego krolika doswiadczalnego - najlepiej zainstaluj oprogramowanie ktore chcesz ze tak powiem 'zmeczyc' na swoim kompie i tam testuj. Zabawa na systemach nie nalezacych do Ciebie moze byc bardzo niebezpieczna by nie powiedziec wrecz ze mozna bedzie Ci sie do tylka dobrac...

Jak bedziesz sie uczyl we wlasnej piaskownicy bedzie to bezpieczniejsze zarowno dla Ciebie jak i dla calego otoczenia.

[ble34]

e lpr

wiesz co jak beda chcieli top mnie załatwia na cacy bo ja mam ich ciastka
a siedzac nad ich stron ą jak tto często ze mna bywa o czyms zapomina i robie rzeczy niepokoleji w tym wypadkuy zapomniałem właczyc proxy ;{ ale powiadomiłem o dziurze admina chociaz w cale niemiałem zammiaru bo je tych typow z lpr nietrawie dlatego zabrałem sie za ich strone a zeby było smieszniei to strona lpr z mojego miasta

no ale myśle ze jezeli cos bedzie zle to je sie ztego wybrpoonie bo w sumie nieuszkodziłem ich strony no oprócz kradziezy poufnych informacji nic na mnie niema jestem młody niekarany i powiadomiłem administarcje o luce
najwyzej dostane kuratora i odpracowanie kolegium w czynie społecznym

zresztą zobaczymy jak będzie

[ble34]

nuke_cpg_nuke-data powiedz mi prosze co to za opcja

w googlach jest troche ale wszytko po angielsku

[TQM]

Hmmm powiedzialbym ze bardziej 'troche' niz po angielsku :-) ale niech bedzie i tak. Informacji rzeczywiscie niewiele a nie mam czasu na zabawe z PHPNuke. nuke_cpg_data to informacje o galerii chyba (tyle co widzialem w ciagu 3 minut w google) i jest to tez parametr w cookie - jeden z wielu z reszta...

Poza tym co do wczesniejszego postu - wiem ze uzywasz proxy :-) ale pamietaj ze malo ktore proxy jest anonimowe. Operatorzy maja obowiazek zbierania przez 2 lata wszystkich logow... Do mnie raz policja przyszla zapytac kto wyslal SMSa z bramki internetowej i musialem im podac kto.

Jako ciekawostke o proxy moge dorzucic, ze niektore banki blokuja dostep internetowy klientom do ich wlasnych kont jesli ci wchodzili poprzez proxy anonimowe, np znajdujace sie w USA czy gdzies indziej... Koledze zablokowali tak wlasnie konto, musial im tlumaczyc po co uzywal anonimowego proxy ;-) Dobrze ze przynajmniej niektore banki zwracaja na to uwage...

[ble34]

Opcja

magic_quotes_gpc=On 

Nie zabezpiecza przed SQL injection. Wystarczy troszke pogooglac i znajdziesz odpowiedz.

ty ten wacky jestes od xss w php cos ta m cos tam ?

[ble34]

a ty wcale niemusiałes mu mowic kto wysłal tego esa z bramki
mogłes powiedziec ze urzywasz windy i własnie sie popsuła z roobił ciu sie format chyba bycie niewsadzili do wiezienia za popsuty komputer

a liga liga usuneła dziure zabraniajac dostępu do modułu zwykłym śmiertelnikom i usuwajac moje konto z ich strony na tym sie to chyba zakonczy ,lol>

[TQM]

a ty wcale niemusiałes mu mowic kto wysłal tego esa z bramki
mogłes powiedziec ze urzywasz windy i własnie sie popsuła z roobił ciu sie format chyba bycie niewsadzili do wiezienia za popsuty komputer

Rzecz w tym ze musialem... tak mowi prawo. Na dodatek tworzac kilka bramek NAT ktore sa jedynymi systemami podpietymi do osobnego lacza 100mbit/sek (swiatlowodzik) i obsluguja 2500 uzytkownikow to juz bylem traktowany jako ISP.

Gdybym powiedzial ze uzywam windy i wlasnie ja sformatowalem, to wzialbym na sieibie personalnie odpowiedzialnosc za te 550 osob podlaczone tylko w tym jednym budynku i mogliby mnie ciagac pozniej po sadach w calym kraju, tym bardziej ze sieci mialem we Wroclawiu a pismo z prokuratury w Gdansku.

Poza tym bylo to oficjalne wezwanie do ujawnienia danych wystawione przez prokurature ktore dotarlo do nas przez naszego ISP. Przekazalem sprawe naszym prawnikom, ktorzy powiadomili policje, ze przekaza dane jak dostana wszystko pismem poleconym a nie FAXem. Pismo przyszlo 2 dni pozniej i dane zostaly wyslane... Sprawa zamknieta, policja miala dane ale chyba nawet ich pozniej nie wykorzystala w zaden sposob...

Chodzilo o SMSa zgrozbami wyslanego z bramki Internetowej. Nie ma anonimowosci w sieci... to jest taki sam mit, jak to ze hacker == przetepca.