cum scap de sql injection

[StiCk Camper]

este un amarat un copil rupt in gura de foame pe aici numit SHAkEitw. nume de boschetar
care se tot joaca cu sql injection , face ce vrea din forumul meu phpbb3 imi punde index.html cu forumul lui cu fel si fel de reclame

cum pot face sa nu mai poata sparge forumul cu sql injection sau alt prgram ?

[D.Ciprian]

Afla-i ip-ul si dai block din cpanel!

[StiCk Camper]

din nefericire
are ip dinamic

[vim]

Varianta rapida:

1. Cauti in logurile de la serverul web ce fisier a accesat.
2. Deschizi fisierul respectiv cu editorul de text preferat si te apuci sa filtrezi orice date vin de la useri. ($_GET , $_POST , $_COOKIE , etc)

Pe viitor:

1. Verifici orice script, inainte de a il urca pe server.
2. Nu utiliza scripturi in care scrie clar ca sunt concepte, ca se afla in stadiu beta sau ca nu au fost testate pe servere de productie.
3. Evita utilizarea scripturilor care provin de la persoane ce fac dezvoltare web din pura pasiune.

Daca iti hostezi singur site`ul/forum`ul/etc, iti poti instala suhosin pana reusesti sa securizezi scripturile. (dar pastreaza asta ca solutie temporara si securizeaza scripturile)

[IsTI37]

1. Ai grija la limbaj.
2. Phpbb3 e un cms aproape imposibil de spart, ori l-ai supermodat ori folosesti contul tau mysql/baza de date cu alt script deodata sau ai un keylogger.
3. Daca e sql injection e mai mult ca sigur ca provine dintr-un formular sau link, adica un GET sau POST neverificat. Iti dai seama de un script vulnerabil daca formularul tau e prelucrat fara sa fie ceva 'escape' scris pe undeva in script.

[StiCk Camper]

nu inteleg ce ziceti voi aici :|

cred k se foloseste de baza mea de date cu alt script

[Xcite]

Poate ti-a uploadat un shell si are acces cand vrea la fisierele de pe webhost . M-am uitat pe forum sa caut vulnerabilitati dar nu am gasit ca sa se foloseasca de sql injection

[StiCk Camper]

si unde sa fie fisierul shell sau cee asta ?

[Xcite]

si unde sa fie fisierul shell sau cee asta ?

Cauta in public_html printre fisierele acelea daca ti se pare ceva fisier care e 'neobisnuit' , care nu l-ai mai intalnit la phpbb3 , si vezi ce are in el , daca nu depinde de forum sau incearca sa il accesezi adica : www.domeniu.ro/numefisier.php si daca apare gen imaginea urmatoare : http://norwegian.honeynet.org/files/images/c99.png , adica are acces la fisierele de pe host atunci acela e shell-ul si stergel .

[M.Catalin]

sql ? esti tare baiatule:)) ai shell in folderu cu fast ala de redirect offf mai invata ce e ala sql injection si dupaia postezi !

Stii foarte bine de ce ti-am facut asta :) !

[StiCk Camper]

Aveam shell :|

uitati poza cum arata



Ms baieti

[Xcite]

Ti-am zis. Acum stergel daca nu vrei sa mai aiba acces