[Keztutis]

kasutan seda login scripti:
http://www.phpeasystep.com/phptu/6.html

Kuid probleem on selles et kui kasutaja sisestab oma username ja passwordi ja kui need peaksid valed olema siis ta suunab ta lehele checklogin.php ja tuleb kiri: Wrong Username or Password, kuid mul oleks vaja et see Wrong Username or Password kiri tuleks main_login.php lehele(üles/alla andmete sisestamis lahtrile) ja ei suunaks sinna checklogin.php lehele.

Siis teine mure on selline, et kui mul on need kasutajate andmed kahes erinevas andmebaasis, siis kuidas ma saak selle teise andmebaasi info kah sinna lisada, et ta kontrolliks ka sealt andmebaasis kasutajate nimesid ja paroole.

Ja kolmas mure on selline, et kas sellele login süsteemile on kuidagi imelihtsalt võimalik panna külhe logi süsteemi
nimelt siis kui keegi sisse logib, siis süsteem kirjutab ta nime automaatselt koos kuupärva ja kella ajaga üles kuhugi txt filesse kasvõi.

[keevitaja]

echo "Wrong Username or Password";

selle asemel pead headeriga suunama siis main_login.php ning andma kaasa mingi väärtuse, et main_login.php saaks kontrollida, kas teada kuvada või mitte.

sa ei tea php-st midagi?

[Keztutis]

Ega eriti ei tea jah :S
Ma ei oska seda sealt niimoodi ümber suunata

[keevitaja]

checklogin.php failis asenda rida echo "Wrong Username or Password";

[Keztutis]

tegin juba nii:

[keevitaja]

[karu]

[andrusny]

Oot, kuidas see JS seal kasutajanime kustutamisega hakkama saaks? Sellest saan aru, et sealtkaudu saab JS faili käivitada (seda võid tegelikult igal lehel ka otse aadressribalt käivitada) kuid kuidas see JS seal andmebaasile ligi saab?

[Fukiku]

[andrusny]

[Fukiku]

Hmm, ma näen siin siiski täiesti reaalset rünnet. GET parameetri kaudu me võime hetkel saata sisse mida iganes. Saadad sisse <script> tagi, mis tõmbab käima sinu lehel oleva skripti, mis mudib olemasolevat lehte, kustutades sealt näiteks ära veateate, et see kasutajat ei eksitaks ja muudab ära sisselogimise formi action URL-i. Pahaaimamatule kasutajale söödad selle lehe koos sobiva GET parameetriga ette mõne URL-i lühendamise teenuse kaudu ja kogud paroole oma lehel, kuhu action nüüd suunab.

On mu mõttekäigus mõni hiiglaslik loogikaviga?

[andrusny]

Ma ei saa ikkagi aru, kui sina paned sinna get päringusse mingi scripti, kuidas teine kasutaja teses arvutis sinu scriptiga lehte näeb? Seda mida see script toodab näed sa ju ainult ise. Selleks, et teha mingi pette leht kusagil URL muutvas serveris pole ju üldse mingit scripti vaja lisada piisab ju lihtsalt uuest lehest. kuigi siis tuleks ikkagi kuidagi sellele lehele kasutaja suunata.
Oeh ma vist pole eriti kuri geenius ei jaga seda mõtet eriti välja.

[karu]

[Fukiku]

Kusjuures, sarnase, kuid potentsiaalselt veel hullema turvaaugu reaalset ärakasutamist nägin eelmise nädalal oma silmaga. Tol juhtumil saadeti kasutaja sisend ilma puhastamata andmebaasi ja kuvati järgmisel lehel samamoodi puhastamata kujul välja. Tegemist oli üritusele registreerumise ja osalejate nimekirjadega siis.

Tulemus: ühed kavalpead panid oma võistkonna nimele otsa <script> tagi ja edaspidi said kõik osalejate nimekirja vaatajad javascript alerti kaudu teada, et "<tundmatuks jääda sooviv võistkond> osalevad ka!".

Mõttekäik teemal, mida kõike selle süütu nalja asemel oleks võinud teha, jäägu kasutajale koduülesandeks. Kategooria on iseenesest sama nagu siin eespool kirjeldatud turvaaugus.

(Aga võibolla oleks õnnestunud seal samal lehel ka SQL injectionit teha, kui nad juba sisendi otse baasi pritsisid.. aga see on juba järgmine teema)

[andrusny]

Põhimõtteliselt on siis idee, et levitad sellist linki

[karu]

[Fukiku]

Kogu antud temaatika juures ei ole sugugi mitte vähe oluline hariduslik külg asja juures. Teemaalgataja võiks ja peaks aru saama, mida ta valesti tegi, et ei kinnistuks halvad ja antud juhul isegi ohtlikud harjumused, mis võivad leida tee juba järgmisesse kohta, kus tagajärjed on hullemad. Konkreetselt täpselt hetkel arutuse all oleva koodi ärakasutamise võimalikkuse nüansid on selle juures teisejärgulised minu arvates.

[andrusny]

Kui ennem kuvamist teha strip_tags() siis peaks vist turvarisk ellimineeitud olema?

[mikk36]

Milleks üldse vaja errorit kliendi poolt tagasi uuesti kliendile saata?

[keevitaja]

ega ei olegi. w2zzaaa lihtsalt õpib php-d.

see exploitimise jutt on lisaks siia tekkinud

[Keztutis]

[keevitaja]

selline exploit on sinu koodis:

[mikk36]

Sellest tulenevalt saad siis igast jaburdusi sinna koodi välja mõelda millega kasutajale halba teha või temalt ligipääsuandmeid välja petta (imiteerides näiteks sisselogimislahtrit nii et kasutaja arvab et sinu leht küsib aga tegelikult suunatakse andmed mujale).

[andrusny]

Tema viimases, uues koodis seda enam pole.

[Keztutis]