מדריך לחסימת הזרקות דרך שורת הכתובת - הוסטס

YDsecurity · 13-05-07, 14:49

דבר ראשון זאת אבטחה ממש אבל ממש פשוטה היא רק חוסמת את הכתובת של השורות כתובות

ואני עושה את זה כי יש המון מאבטחים שמה שהם עושים פשוט הם שמים את הקוד הזה
וזה כל האבטחה שלהם

אז קחו ותהנו

-את הקוד הזה מצאתי באינטרנט ורק שיפרתי אותו

קחו את הקוד הזה והכניסו אותו לקובץ שקוראים לו Sec.php

PHP קוד:


			
<?php 

ob_start();

/*

// ----------------------------------------------------------

// Doctor-Sec

// Doctor-Sec, © 2007

// ================================

// email :sarig@012.net.il

// 

// ----------------------------------------------------------

*/







$Sec['endmsg']= "הנך חסום מהפורום<br />האיפי שלך נשלח אל ספקית האינטרנט ברגע זה";

$Sec['mngrmail']="sarig@012.net.il"; // האימייל של בעל האתר

if($_COOKIE['257'])

              endmsg();

else

             checkinj();



function checkinj(){

global $Sec;

$url = strtolower($_SERVER['QUERY_STRING']);

if(str_replace(array("alter","uploads","http","www","drop","rename","handler","replace","select","union","truncate","update","describe","lock tables","grant","set password","flush","kill","distinct","having","procedure","limit","order by","where","SCRIPT","ibf_members","alert","ibf","null","<",">","#","^","*","ibf_admin_sessions","alret","close","String","SCRIPT","perl","javascript","BODY","refresh","IFRAME","@","DIV","expression","perlt","vasc","expr","noxss","EMBED","eval","DATASRC","space","prefix","urn","schemas","cmd","bin","IPT","exec","Cookie","Set","charset","html","HREF","document","not null","TITLE","xml","include","xss","javascript","dobank&type=collect"),'',strip_tags($url)) != $url){

        SETCOOKIE('257','1',time()*99999999999999999999999999999999);

        endmsg();

       }

}



function endmsg(){

global $Sec;

echo <<<HTML



<html> 

<head> 

<title>הנך נחסמת מהאתר!</title> 

<meta http-equiv="content-type" content="text/html; charset=windows-1255" /> 

<style>

*{ 

font-family: Tahoma;

color: 909090;

font-size: 13px;

direction: rtl;

}

#tt{

        border: 1px solid #DBDBDB;

        width: 100%;

}

</style>

</head>

<body bgcolor="#000000">

<p align="center">

<img src="http://doctor-sec.com/gogogo.png" width="320" height="402"><br /><br /><br />

</p>

<center><table border="0" style="width: 50%"><tr><td class="tt" id="tt"><center>

<font style="color: #B32100; font-weight: bold; font-size: 23px;">

<span style="font-size: 23px; color: #B32100" lang="he">&nbsp;הנך חסום מן האתר</span>!</font><br /></center></td></tr></table>

<br /><center><table border="0" style="width: 50%"><tr><td class="tt" id="tt"><center>

{$Sec['endmsg']}<br /><br />

לשליחת אימייל לבעל האתר לחץ <a href="mailto:{$Sec['mngrmail']}"><u>כאן</u></a><br />

</center></td></tr><tr><td align="left" valign="top" style="font-size: 10px;">&nbsp;&nbsp;<font style="color: #B32100; font-size: 10px;">S</font>ecured <font style="color: #B32100; font-size: 10px;">B</font>y

  <span style="color: #B32100">D</span>octor-<span style="color: #B32100">S</span>sec</td></tr></table></center>

</body>

</html>

HTML;

die();

}

?>

עכשיו כנסו לקובץ Index.php שנמצא בתיקיה הראשית של הפורום שלכם והכניסו מתחת לשורה הזאת :

ציטוט:

<?php

את הפקודה הבאה :

PHP קוד:


			
include "Sec.php";

וזהו זה מאבטח את מה שאמרתי תהנו

**Daniel** · 13-05-07, 14:54

ואוו! אבטחת ה-GET.
פשוט גאוני.
רק הבעייה, שאם היית מבין משהו ב-IPB, היית יודע ש-IPB משתמש ב-REQUEST, או שהוא משלב את POST ו-GET, ככה שכל מידע ב-GET אני יכול לשלוח גם ב-POST.

YDsecurity · 13-05-07, 15:06

מה אתה חושב את עצמך גבר אני אמרתי שזאת אבטחה בכלל אמרתי שזאת סתם אבטחה חלשה ומי שרוצה שישתמש וזהו !

ציטוט:

דבר ראשון זאת אבטחה ממש אבל ממש פשוטה היא רק חוסמת את הכתובת של השורות כתובות
ואני עושה את זה כי יש המון מאבטחים שמה שהם עושים פשוט הם שמים את הקוד הזה
וזה כל האבטחה שלהם
אז קחו ותהנו

אז שב בשקט ותאמין לי שיש המון אבל המון "מאבטחים" שזאת בעצם האבטחה שלהם חחחחחח

omercnet · 14-05-07, 21:58

קודם כל כל הכבוד על ההשקעה,
שווה רק אם גם תוסיף את השם של הבנאדם שעליו ביססת את הקוד שלך.

דבר שני אתה סורק שמה מלא מלא מלא מלא מלא מלא מילים, חלק מהן שימושיות בלי קשר, וזה קצת מקשה על התכנות של האתר.

שווה להשקיע ולכתוב איזה אלגוריתם שיראה אם הקוד שאתה מכניס בשורת כתובת הוא באמת זדוני

כל הכבוד על ההשקעה
keep up the good work

נ.ב
אתה רואה? שאתה בא בצורה הגונה ובאמת נותן שירות כנה ואמין, התגובה היא בהתאם.
בהצלחה בהמשך

DorWD · 14-05-07, 22:16

זה לא אבטחה של מערכת הפורום IB?

Udi · 15-05-07, 01:11

זה כל כך חובבני לסנן,
במקום פשוט לאפשר משהו ספציפי.

אם אתם רוצים אפליקציה מאובטחת,
תצאו מנקודת הנחה שכל מה שאתם מקבלים מהמשתמש זדוני, מסוכן, שגוי וכו' עד שלא תוכיחו אחרת באמצעות בדיקות וכאלה.

מאמר מעולה בנושא [אנגלית]: לחצו כאן.

RS324 · 15-05-07, 07:59

נעזוב את זה שאני חושב הקוד מועתק (כנראה מאיזה קוד חינמי איפהשהו).
ונעזוב את שאני בכלל צריך לנעול לך את הנושא כי זה מדבר על מערכת מוכנה
(אני לא מכיר שום אבטחה שהמילה "ibf_members" אומרת בה משהו שד"א גם אם במערכת השתמשתי ב PREFIX אחר זה לא יהיה אפקטיבי עבור זה).

נעזוב את הכל לרגע ונסתכל רק על מה שכתבת.

מה שעשית בעצם זה החלפה של המילים בתו ריק = '' לצורך העניין כל המילים שיכולות להיות בעייתיות דבר שהוא אלף לא יעיל, וב' לא הגיוני, כי אתה אף פעם לא יכול להכיל את כל המילים.

אם היית לוקח את התוים המסוכנים באמת וממיר אותם לערך שלהם... לדוגמא : " יהפוך להיות &qoute; או לחלופין " יהפוך להיות "\ הם במילה לא יוכלו להשתמש במילים האחרות... ככה שבכל שאילתה אתה חוסך לשרת לעבוד כמו מפגר. אני לא יכול עכשיו לשבת ולפרט את כל השיטות. הרעיון הוא תמיד לבדוק את הקלט לפני שהוא נכנס ולא לסנן אותו סתם בלי קשר.

דוגמא פשוטה:
בערכים מספריים, כ 90% מהמערכות לא עוברות את הערך של INT במערכות של 32 BIT שהוא 2147483647
לכן הדוגמא הפשוטה היא כל פעם שאתה מצפה לערך מספרי לדוגמא threadid
אז תעשה
$threadid = intval($_REQUEST['threadid']);
אם מישהו ינסה לעשות בזה שטויות רוב הסיכויים שה THREADID יהיה 0.

אם אתה משתמש במספרים שגדולים מ 2147483647 במערכות 32 ביט לדוגמא
999999999999999999999999999
אז תשתמש ב PREG בשביל לאמת את הנתונים (אני לא אכתוב איך תחשוב לבד).

זה היה נכון לעכשיו סתם דוגמא...
אבל בכל מקרה איך שלא תהפוך את זה. זה לא נכון מבחינה תיכנותית לסנן את כל המילים האלו מה GET מה גם שאתה מגביל את עצמך לעתיד.
בנוסף כל האבטחה הזאת לא ממש שווה אם לא התייחסת בכלל ל register_globals ול magic_qoutes שזה הדברים הבסיסיים ביותר
(אבל את זה אני מניח ש IPB כבר עשו בשבילך).

אז תחשוב על מה שאמרת
ונ.ב
---
הייתי מציע לך להרגע קצת בטון דיבור שלך כלפי משתמשים אחרים אני ממש לא רוצה להתחיל לצנזר הודעות ולחלק אזהרות, כנ"ל למשתמשים האחרים שמגיבים

~~V770~~ · 15-05-07, 17:22

בכל הנושא הזה לא הבנתי כלום
יש אולי מאמר שמסביר את הגנות שיכל לעשות הקוד הזה?

X-T · 15-05-07, 17:44

לא חסרים מאמרים בתחום, www.JustFuckingGoogleIt.com

~~V770~~ · 15-05-07, 23:33

האתר שסיפקתה אין מאמרים כלל!

14-05-07, 21:58	# 4
omercnet אחראי פורום תחזוק שרתים מיני פרופיל תאריך הצטרפות: Aug 2006 גיל: 38 הודעות: 722	קודם כל כל הכבוד על ההשקעה, שווה רק אם גם תוסיף את השם של הבנאדם שעליו ביססת את הקוד שלך. דבר שני אתה סורק שמה מלא מלא מלא מלא מלא מלא מילים, חלק מהן שימושיות בלי קשר, וזה קצת מקשה על התכנות של האתר. שווה להשקיע ולכתוב איזה אלגוריתם שיראה אם הקוד שאתה מכניס בשורת כתובת הוא באמת זדוני כל הכבוד על ההשקעה keep up the good work נ.ב אתה רואה? שאתה בא בצורה הגונה ובאמת נותן שירות כנה ואמין, התגובה היא בהתאם. בהצלחה בהמשך __________________ Omer Cohen Information Security Specialist eBaY Inc

14-05-07, 22:16	# 5
DorWD תודה על תרומתך. מיני פרופיל תאריך הצטרפות: Jan 2006 מיקום: עפולה גיל: 31 הודעות: 2,259	זה לא אבטחה של מערכת הפורום IB? __________________ מתכנת WEB

15-05-07, 01:11	# 6
Udi חבר על מיני פרופיל תאריך הצטרפות: Jan 2006 מיקום: במרכז גיל: 36 הודעות: 903	זה כל כך חובבני לסנן, במקום פשוט לאפשר משהו ספציפי. אם אתם רוצים אפליקציה מאובטחת, תצאו מנקודת הנחה שכל מה שאתם מקבלים מהמשתמש זדוני, מסוכן, שגוי וכו' עד שלא תוכיחו אחרת באמצעות בדיקות וכאלה. מאמר מעולה בנושא [אנגלית]: לחצו כאן. __________________ Udi Mosayev Web Developer

15-05-07, 07:59	# 7
RS324 תודה על תרומתך. מיני פרופיל תאריך הצטרפות: May 2006 הודעות: 3,173	נעזוב את זה שאני חושב הקוד מועתק (כנראה מאיזה קוד חינמי איפהשהו). ונעזוב את שאני בכלל צריך לנעול לך את הנושא כי זה מדבר על מערכת מוכנה (אני לא מכיר שום אבטחה שהמילה "ibf_members" אומרת בה משהו שד"א גם אם במערכת השתמשתי ב PREFIX אחר זה לא יהיה אפקטיבי עבור זה). נעזוב את הכל לרגע ונסתכל רק על מה שכתבת. מה שעשית בעצם זה החלפה של המילים בתו ריק = '' לצורך העניין כל המילים שיכולות להיות בעייתיות דבר שהוא אלף לא יעיל, וב' לא הגיוני, כי אתה אף פעם לא יכול להכיל את כל המילים. אם היית לוקח את התוים המסוכנים באמת וממיר אותם לערך שלהם... לדוגמא : " יהפוך להיות &qoute; או לחלופין " יהפוך להיות "\ הם במילה לא יוכלו להשתמש במילים האחרות... ככה שבכל שאילתה אתה חוסך לשרת לעבוד כמו מפגר. אני לא יכול עכשיו לשבת ולפרט את כל השיטות. הרעיון הוא תמיד לבדוק את הקלט לפני שהוא נכנס ולא לסנן אותו סתם בלי קשר. דוגמא פשוטה: בערכים מספריים, כ 90% מהמערכות לא עוברות את הערך של INT במערכות של 32 BIT שהוא 2147483647 לכן הדוגמא הפשוטה היא כל פעם שאתה מצפה לערך מספרי לדוגמא threadid אז תעשה $threadid = intval($_REQUEST['threadid']); אם מישהו ינסה לעשות בזה שטויות רוב הסיכויים שה THREADID יהיה 0. אם אתה משתמש במספרים שגדולים מ 2147483647 במערכות 32 ביט לדוגמא 999999999999999999999999999 אז תשתמש ב PREG בשביל לאמת את הנתונים (אני לא אכתוב איך תחשוב לבד). זה היה נכון לעכשיו סתם דוגמא... אבל בכל מקרה איך שלא תהפוך את זה. זה לא נכון מבחינה תיכנותית לסנן את כל המילים האלו מה GET מה גם שאתה מגביל את עצמך לעתיד. בנוסף כל האבטחה הזאת לא ממש שווה אם לא התייחסת בכלל ל register_globals ול magic_qoutes שזה הדברים הבסיסיים ביותר (אבל את זה אני מניח ש IPB כבר עשו בשבילך). אז תחשוב על מה שאמרת ונ.ב --- הייתי מציע לך להרגע קצת בטון דיבור שלך כלפי משתמשים אחרים אני ממש לא רוצה להתחיל לצנזר הודעות ולחלק אזהרות, כנ"ל למשתמשים האחרים שמגיבים __________________ כלים לקידום אתרים בלוג PHP למתקדמים

15-05-07, 17:44	# 9
X-T חבר וותיק מיני פרופיל תאריך הצטרפות: Jan 2007 הודעות: 1,021	לא חסרים מאמרים בתחום, www.JustFuckingGoogleIt.com __________________ You don't shine if you don't glow


	ההרשמה לפורום נפתחה - אפשרות רישום לכל אימייל (דומיינים פרטיים, gmail, הוטמייל..)!

13-05-07, 14:54	# 2
Daniel אחראי פורום מיני פרופיל תאריך הצטרפות: Mar 2007 הודעות: 2,875	ואוו! אבטחת ה-GET. פשוט גאוני. רק הבעייה, שאם היית מבין משהו ב-IPB, היית יודע ש-IPB משתמש ב-REQUEST, או שהוא משלב את POST ו-GET, ככה שכל מידע ב-GET אני יכול לשלוח גם ב-POST.

15-05-07, 17:22	# 8
~~V770~~ Permanently Banned מיני פרופיל תאריך הצטרפות: Dec 2006 גיל: 37 הודעות: 195	בכל הנושא הזה לא הבנתי כלום יש אולי מאמר שמסביר את הגנות שיכל לעשות הקוד הזה?

15-05-07, 23:33	# 10
~~V770~~ Permanently Banned מיני פרופיל תאריך הצטרפות: Dec 2006 גיל: 37 הודעות: 195	האתר שסיפקתה אין מאמרים כלל!

חברים פעילים הצופים באשכול זה: 1 (0 חברים ו- 1 אורחים)