Prøv at bryde ind..

Siden kan ikke vises

Tjah den er sikker nok.
Det er en server-site login. Det er meget svært at bryde. Du kan dog aldrig være sikker men det kan ingen.

jo det kan den.....

Jamen så giv os da lige koden hvis vi skal bryde ind *GGGGGGGGGGGGGGGGGGGGGGGGGGGGGGGGG*

MC

Jeg kan få denne side frem

Velkommen.
Du er nu logget ind i pE|CMS som Admin

Hvis ikke IIS serveren er opdateret med div. service packs, er der en mulighed for at man kan bruge den der kode man kan skrive efter en .asp fil, hvor man bliver tilbudt muligheden for at downloade source code filen.......

Du ska i din SQL som laver testen af om folk findes fjerne tegnet % for man  kan let komme igennem

username= replace(request.form("username"),"%","YY")

ligeledes med Passwordword

Prøv at skrive i fletert
username: et' OR user LIKE '%%
Password: et' OR pass LIKE '%%

Så logger den ind som admin....

eagleeye>>Damn..hvad kan gøre ved et?

du skal også altid huske at lave et ' om til to ' ' så det ikke tolkes som slut på streng i SQL sætningen både ved username og password:

username= replace(request.form("username"),"'","''")

Nå..det har du skrevet. Jeg prøver lige.

Som jeg skriver lav teksten fra input felter gå gennem en function som filtre "hacker" tekst fra:

Disse to SKAL du altid havde med ved UserName og Password test inden du fylder i SQL-sætningen:
username= replace(request.form("username"),"%","YY")
username= replace(username,"'","''")


strSQL = "SELECT * FROM ... WHERE user='&username'"& osv...

*LOL*
Jeg synes lige du skulle kaste et blik på artiklen:
http://www.asp.dk/articles.asp?mode=show_article&tech_id=1&article_id=132

I SQL-sætninger bliver ' tolket som slut på steng men er der en ' lige efter tolkes der som forsætelse af stengen og den ligger kareteren ' i databasen.

Hehe..man lærer noget hver dag. Hvad med serveren? Er den sikker?

- ellers en fed admin del...

Så skulle de gerne været rette. Er I friske på lige at prøve endnu engang?

Ja nu kan jeg IKKE kommer ind på den måde... :(

Fint. Og tak for hjælpen du :o)

Kender du andre metoder du lige vil afprøve?

Hehe..der er nok nogen der har moret sig ved at redigere hva? :o)

pelkjaer>>> det hva jo hvad du kunne for vente, Men på den måde kender du også en Hacker fra en cracker

Hackeren gør det foir at bev ise fejl og mangler
Crackeren gør det udelukkende for at sabotere og ødelægge

MC

Jeg har prøvet de ting jeg vil med % LIKE og ' ..
Det bliver nok ikke den vej man lige kommer ind.

Bruger du Querystrings til at overføre fra side til side, eller benytter du Sessions til at gemme bruger information. Username/password. Session vil være det helt rigtige at benytte til username og evt password for man kan altid selv skrive "filnavn.asp?user=admin", men session kan man ikkes selv rette i.


Jeg er da ked af at høre at nogle folk har ændre noget, så skulle jeg ikke havde vist hvordan man kom igennen, men jeg syntes du skulle se hvordan jeg gjorde. Men det er en klassisk fejl at man ikke lige får ændret ' til '', så det vil altid være det første en "hacker/crackers" vil tjekker for.

Jeg håber du har været et fornyftigt menneske som har taget backup inden du lage dit spørgsmål ind her :)

Ro på. Det er bare lidt tekst der har fået en anden farve - deraf mit ":o)"

No damage done.

Jeg bruger forresten sessions, så den filnavn.asp?user=admin", går heller ikke, har jeg netop prøvet.