HackTest

John22 findes ikke?

Error: "Det brugernavn du har angivet findes ikke. Prøv igen"

Hmm.. hvordan kan vi vide det er dit site klyde?

Jeg troede det var eksempler man kunne bruge! *G*

- esoulman -> Overskriften, Login HackTest, viser det sådan rimelig godt?

Tilføj teksten "brune bønner popper bedst" i toppen, så man ved det er dit site!!!

<> | <>

er jeg den eneste der ikke kan se siden?

Den finde ikke, så det må jo enten være den ultimative beskyttelse, eller også er den allerede hacket :-)

jeg kan heller ikke se siden

samme her

Siden kan ikke vises .... Det er nærmest umuligt at hacke sig igennem  ;)

hehe... ;) Jeg kan altså sagtens se den?

Det er nok en af de der pro servere der er så hacker sikret at den slår fra når man går ind på siden ;)

OK nu har jeg indsat teksten "brune bønner popper bedst" i toppen af login feltet...

Men jeg kan da ikke forstå at i ikke ka se siden...
http://inet.lir.dk/hacktest/intsecure/default.asp

sådan nu kan jeg se den...

Her er de fejlmedelser systemt kan generere:

Det brugernavn du har angivet findes ikke. Prøv igen.
Det password du har angivet findes ikke. Prøv igen.
Du har ikke skrævet et brugernavn i feltet herunder. Prøv igen.
Du har ikke skrævet en adgangskode i feltet herunder. Prøv igen.

Får i andre fejl, vil jeg gerne vide det...

En ide til ændring.. Bare skrive:

"Ugyldigt brugernavn eller password" det andet er en foræring til at man har fat i noget.. Så er det op til dine brugere selv at gennemskue om de ramte forkert i brugernavnet eller passwordet.

men jeg kan stadig ikke se siden.

eagleeye--- God ide!!!

Kom bare med flere af den slags. Det kan jeg bruge

Du kunne evt kigge her om det kan give dig nogle ideer: http://www.eksperten.dk/spm/238549

Seriøst er der nogen der er igang med at give serveren den helt store tur? nu kan jeg ikke se siden igen...

Til alle der ikke kan se siden, prøv istedet:
http://www.vejbump.dk/hacktest/intsecure/

Nu er jeg komme ind på adressen:

http://inet.lir.dk/hacktest/intsecure/inside/

med beskeden "Du er inde..."

:-)

tmceu --- OK... Hvordan gjorde du det...

en klassiker :)jeg er også inden

Hva'

Hvordan er kommet ind & hvordan kan jeg beskytte i mod det...

Øv, jeg skulle lige til at bede ham tigge om svaret :-)

Brugernavn: \' or brugernavn <> '
Password: \' or password <> '

Det der hjalp mig var, at jeg undervejs fik smidt syntax fejl i hovedet, hvorved jeg kunne se feltnavnene.

Du kan undgå dette ved at lave en custom error handler, så standard fejl ikke vises.

Inden du laver dit SQL statement op mod databasen, tilføjer du:

On Error Resume Next

' SQL statement her

If objConn.Errors.Count <> 0 Then
Response.Write "Der opstod en fejl et eller andet sted"
Response.End
End If

Dermed undgår du at vise std. fejlmeddelelser og dermed røbe detaljer om databasen.

I siger det er en klasiker... Jeg kender den ikke (tror jeg)

Prøv med det globalt anderkendte brugernavn og password: ' OR '1'='1

SQL bruger ' til at starte og slutte strenge så man kan snyde SQL ved at angive  brugernavnet og passwordet som angivet.

Se mere omkring det her: http://www.netcoders.dk/articles.asp?mode=show_article&tech_id=1&article_id=132

Kig på ASP's topliste, det er jo ikke hvem som helst du har med at gøre *S*

eagleeye >> vi kunne tjene meget mere ved en anden levevej :-)

Næste skridt kunne være at finde din .mdb fil, sådan bare for sjov. Men du har vist fået nok at tænke over :-)

tmceu --- I know :)
Jeg havde heller ikke regnet med andet ;)

Jeg tror jeg har fået rettet alle de fejl i har beskrævet nu...

Vil i ikke lige prøve igen :)

hehe ;) ja det kunne være det var en levevej

tmceu --- Det med at du kan finde min mdb fil gør ikke noget...
Den bliver lavet om til en MSSQL db som ligger hos scannet, så det bliver ikke et problem...

Meget bedre. Du drømmer ikke om hvor mange, der bruger en masse energi på deres fine login script og så kan man "bare" downloade deres .mdb fil.

Du gør i det mindste de mest elementære ting man kan, for at sikre dig. Men pas blot på at du ikke ender op med en falsk 100%'s trygheds fornemmelse :-) Intet system er 100% sikkert, men det har jeg på fornemmelsen at du er klar over.

tmceu --- Det er jeg klar over...
Men jeg kan da prøve på at få det så sikkert som muligt...
Tusinde tak for hjælpen alle sammen, hvis i opdager noget andet ved siden må i meget gerne reportere det her...
Igen mange tak

/Klyde

Det var så lidt :-)