Autor Zpráva
mark
Profil
Zdravím, programoval som vlastný web a keďže sa poslednú dobu venujem zabezpečeniu, skúsil som, ako sú na tom iné stránky, uvedená diskusia má však malú chybu v programovom kóde...

Otvorte si diskusiu PHP.
Potom si otvorte nejakú stranu diskusie (tie sú očíslované hore .1.2.3.4.5. >>)
Zobrazí sa vám hore URL napr. ako je táto:
http://diskuse.jakpsatweb.cz/index.php?action=vtopic&forum=19&sortBy= 0&page=7

a premennú page zmente za nejaké dostatočne veľké číslo, napr. 10 000, čiže
http://diskuse.jakpsatweb.cz/index.php?action=vtopic&forum=19&sortBy= 0&page=10000

Otvorí sa vám strana, a web sa zachová zvláštne (zrejme nekontroluje premenné URL). Okrem toho, že nevypíše, že požadovaná strana neexistuje, hore vypíše php warning:
Warning: mysql_result(): supplied argument is not a valid MySQL result resource in /domains1/xh011800/public/diskuse.jakpsatweb.cz/setup_mysql.php on line 480

Warningy by nemali čo robiť na stránke a okrem toho, bol by som velice nerád, aby sa tomuto webu niečo stalo, preto vám o tom píšem. Neviem, či je to diera do systému, alebo nie, lebo ja niesom hacker, ale myslím, že lepšie vám to oznámiť ako nie. Na niektorých diskusiach je to v poriadku, ale na PHP a možno ze aj na nejakých ďalších nie (neskúšal som všetky)...
Príspevky som neskúšal vkladať, aby som niečo nepokazil...

Inak musím pochváliť tvorcu stránky, web je vyborný, veľmi mi pomohol v skúsenostiach:)) ďakujem...
mark
Profil
rád by som ešte doplnil, že tie URL sú iba ako príklad, sú s diskusie, kde warning nevypisuje....
koudi
Profil
Nevím, jestli to někdo mezitím opatchoval, ale já nic takého nevidím.
mark
Profil
V tom prípade klikni na túto adresu.
DoubleThink
Profil *
To varování tam není kvůli neošetřenému vstupu, ale kvůli poškozenému vláknu.
Error reporting jsem vypnul.

Vaše odpověď


Prosím používejte diakritiku a interpunkci.

Ochrana proti spamu. Napište prosím číslo dvě-sta čtyřicet-sedm:

0