Forum
Aktif konular
Üyeler
Kurallar
Arama
Tahribat.com Forumları 
Hertürlü Web tabanlı Saldırı Taktik ve Stratejileri 
PHP Sql İnjection Engelleme PHP Sql İnjection Engelleme
-
Şimdi bu browser agentimizi falan loglar.php ye kaydediyor ya .
Eğer biz browser agent bilgimizi manipule edip
<?php passthru($_GET[musty]); ?>
gibi birşey yazdığımızı düşünelim .
Sonra bu site logları kayıt altına aldığı için browser agentide alacaktır .
Saldırgan ise
site.com/loglar.php?musty=c0de
yaparsa ne olacak ?
-
Twitter bunu yazdı:
-----------------------------Şimdi bu browser agentimizi falan loglar.php ye kaydediyor ya .
Eğer biz browser agent bilgimizi manipule edip
gibi birşey yazdığımızı düşünelim .
Sonra bu site logları kayıt altına aldığı için browser agentide alacaktır .
Saldırgan ise
site.com/loglar.php?musty=c0de
yaparsa ne olacak ?
-----------------------------çizmiş
-
Twitter bunu yazdı:
-----------------------------Şimdi bu browser agentimizi falan loglar.php ye kaydediyor ya .
Eğer biz browser agent bilgimizi manipule edip
gibi birşey yazdığımızı düşünelim .
Sonra bu site logları kayıt altına aldığı için browser agentide alacaktır .
Saldırgan ise
site.com/loglar.php?musty=c0de
yaparsa ne olacak ?
-----------------------------loglar db de tutulduğu için çoğu yerde, db den gelen php kod yorumlanmaz. anca meta falan atarsın yada xss de kullanırsın. zamanında bu olaydan çok site gümbürtüye gitti artık akıllandılar ama
-
He tabi öyle php kodları yorumlanmayabilir ama ben örnek olsun diye söyledim yoksa xss,meta akla hayale sığmayacak şeyler yapılabilir .
-
önerileriniz nedir peki ?
-
ayrıca yüksek hitli sitelerde falan bu kodlar aşırı yorar sistemi
-
User agenti süzecek bir kod yazılabilir Yada hiç user agent bilgisi tutturulmayabilir :) ip adresi hukuki işlemlerde yeterli oluyor ne olsa bunu kemale ermiş arkadaşlar dahada geliştirebilirler . Ama ne olursa olsun sistem yinede hacklenir :D Fazlada paranoyak olmamak lazım .
Kısayol
Şikayet
Özel Mesaj
Alıntı yap
Cevapla