Avatar billede sqren Nybegynder
06. oktober 2003 - 18:45 Der er 15 kommentarer og
2 løsninger

Hjælpsom hacking

Hej alle eksperter,
Jeg har fået stablet noget PHP på benene. Det er ikke særlig smukt, HTML'en overholder ikke nogen kendte standarder (kun sqren standarden), men det virker. Nu vil jeg bare gerne teste sikkerheden.

Hvis jeg skal være helt ærlig tror jeg faktisk den er helt i bund og det er jo ikke særlig smart!

Jeg er som sagt ikke særlig god til php og har kun med lidt held fået det her system til at virke:
http://medlem.jubii.dk/minetingogsager/hack-test/index.php

Det jeg gerne vil have jer til er, at finde sikkerhedshullerne og fortælle mig hvad der kan gøres for at lukke dem.

Jeg har taget backup så i må godt gå helt amok, men det er ikke min server, det er tripod/jubii's så ved ikke helt sikkert hvad i må gøre ifølge dem.

Til sidst vil jeg lige for en god orden skyld nævne at nederst på siden har jeg skrevet at den tilhører mig og at fri hack er tilladt.

PS. Det er mail, forum og adresseliste der burde være sikre. Altså det er der i skal prøve at finde sikkerhedshuller, men i må også godt finde dem andre steder på siden (hvis der nu er en stor rød slet knap et sted må i godt sige det).
Avatar billede casualty Nybegynder
06. oktober 2003 - 19:12 #1
Du har et problem i dit forum med acceptering af JavaScript + HTML tags

Mvh Casualty
Avatar billede sqren Nybegynder
06. oktober 2003 - 19:14 #2
Men du kunne ikke finde nogle sikkerhedshuller?
Avatar billede casualty Nybegynder
06. oktober 2003 - 19:15 #3
Nej..det er jeg ikke "styg" nok til...Men vent..der kommer nok nogle andre til...
Avatar billede sqren Nybegynder
06. oktober 2003 - 19:18 #4
Det "håber" jeg også. For der er helt sikkert masser af sikkerhedshuller. Jeg håber derer nogle venlige eksperteer der vil hjælpe med at finde dem.
Avatar billede gizmo1234 Nybegynder
06. oktober 2003 - 20:19 #5
Det login system har jeg selv brugt for et stykke tid siden, indtil jeg fik at vide af en at man med et meget lille program kan få at vide hvad adressen på den fil som er den hemmelige side hedder, og så skriver man det bare i adresse linjen.
For er det ikke sådan at hvis man kender navnet på filen, så kan man bare skrive den, og så gå direkte derind?
Det skal være sådan at selv hvis man kender navnet på filen, og skriver den, så spørger den bare igen efter kode, så "den smarte hacker" kan blive rigtig sur ;)
Avatar billede sqren Nybegynder
06. oktober 2003 - 20:22 #6
Man skal ikke bare vide adressen til "den hemmelige side". Det er ikke bare et af de der dårlige Javascript beskytelser. Du kan selv prøve: http://medlem.jubii.dk/minetingogsager/hack-test/index.php?action=dagbog
Avatar billede casualty Nybegynder
06. oktober 2003 - 21:40 #7
Det virker som om at du modstår sql injections...Det er da én god ting ;)
Avatar billede mikl-dk Nybegynder
06. oktober 2003 - 22:55 #8
Du skal nok slå js-script fra :D

Prøv at gå ind på http://medlem.jubii.dk/minetingogsager/hack-test/index.php?action=read&sid=9 (den fører til http://www.eksperten.dk/kat/2)

/mikl-dk
Avatar billede sqren Nybegynder
07. oktober 2003 - 14:17 #9
Jeg er meget glad for de svar jeg har fået indtil videre, men der er stadig ikke så meget om selve sikkerheden ved login. Der er oprettet to brugere, her får i lige den ene, hvis det evt. kunne give noget.
Bruger: eksperten
Pass  : eksperten

Brugerne må heller ikke kunne lave noget juks. Ikke alle brugere er til at stole på!
Mange tak for hjælpen!
Avatar billede sqren Nybegynder
09. oktober 2003 - 15:39 #10
Hvordan er det lige jeg deaktivere javascript?
Avatar billede sqren Nybegynder
09. oktober 2003 - 15:43 #11
Eller hvad med at det så kommer til at se sådan her ud:
<p>&lt;script
language=&quot;javascript&quot;&gt;document.location.href=&#39;http://www.eksperten.dk/kat/2&#39;;&lt;/script&gt;</p>

(hvordan gør man det)
Avatar billede mikl-dk Nybegynder
09. oktober 2003 - 15:49 #12
Avatar billede casualty Nybegynder
09. oktober 2003 - 17:26 #13
Du kan ikke deaktivere javascript da dette er en funktionalitet der udelukkende kører på klientsiden.
Det du skal gøre er at sørge for at når du gemmer en string i databasen så ignorerer/udelukker den javascriptet. Fx. så skulle du på serversiden fjerne alt tekst fra "<script>" til "</script>"...Der gælder selvfølgelig det samme med HTML hvis du ønsker at udelukke dette...
Avatar billede sqren Nybegynder
09. oktober 2003 - 22:21 #14
casualty -> Det fandt jeg også ud af da jeg brugte mikl-dk's forslag. Ellers tak!

PS. Jeg skal nok lukke spørgsmålet snart, jeg håbede bare der var nogen der kunne fortølle mig hvilke store sikkerhedshuller der var.
Avatar billede sqren Nybegynder
18. december 2003 - 14:52 #15
Tak for hjælpen alle sammen. Jer der vil have point: Læg et svar :)
Avatar billede mikl-dk Nybegynder
18. december 2003 - 17:11 #16
Det er altid svært at vurdere sikkerhedshuller - det er også afhængigt af webserveren og andre servere i den serverpark. Der er utrolig mange ting, der spiller ind, og hvis man virkelig vil have en omfattende og "brugbar" (læs: professionel) vurdering, tager det lang tid (=penge).

Men ved "amatørsider" og almindelige firmaer er der nogle standard ting, som man skal huske:
- validere input (fx slashes etc inden queries)
- htmlentities er guld værd :)
- beskytte "hemmelige" sider på andre måder end blot at lave deres URL være "hemmelig"
- gem IKKE kodeord som cleartekst i cookies
- man kan evt kryptere kodeordet i js inden det afsendes

I det hele tager kan man gøre mange ting, men man skal altid huske på den grundregel, der siger, at jo mere funktionalitet, der er, jo sværere er det at opretholde en acceptabel sikkerhed. Vælg muligheder med omhu, men lad dig ikke begrænse det unødvendigt :)

/mikl-dk
Avatar billede sqren Nybegynder
18. december 2003 - 17:16 #17
mikl-dk->Mange tak for det sidste afsluttende svar. De ting skal jeg prøve at huske på når jeg programmere.

Og selvfølgelig også tak til jer andre!
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
Vi tilbyder markedets bedste kurser inden for webudvikling

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester