| |
|
|
| | Кто знает, чего хотел добиться посетитель гостевой вот на этой страничке:
http://asia-business.ru/guest.php
(имеются в виду последние несколько сообщений, датированные 4 декабря)
Уж не злое ли замышляют враги? | |
| |
|
|
| |
|
|
| |
для: Ivan
(05.12.2005 в 05:02)
| | | Нет :) Видно этомсу товарищу моча в голову ударила просто... Про безопасность - у вас перед саписью в базу переменные экранируются при помощи mysql_escape_string() ? Это самая опасная дыра, которая возможна, пожалуй. | |
| |
|
|
| |
|
|
| |
для: DDK
(05.12.2005 в 10:42)
| | | mysql_escape_string() нету, насколько помню, там убираются несколько потенциально опасных значков и словечек с помощью ereg_replace и все, кажется.
Может, подстраховаться?
Просто в последнее время какая-то нездоровая активность наблюдается вокруг сайта, письма всякие на ящик чуть ли не от хост-провайдера с просьбами про пароли...
Чувствую, скоро надо будет разоряться на хорошую книжку по безопасности.
Кстати, кто посоветует? | |
| |
|
|
| |
|
|
| |
для: Ivan
(06.12.2005 в 03:00)
| | | В 2006 году выйдет наша книга "PHP-головоломки для хакера", большая часть которой будет посвящена вопросам безопасности. Книга состоит из двух частей: задач и ответов к ним. | |
| |
|
|
| |
|
|
| |
для: Ivan
(05.12.2005 в 05:02)
| | | Обычный почтовый заголовок... может пытались через вашу гостевую письма отправлять? | |
| |
|
|
| |
|
|
| |
для: Loki
(05.12.2005 в 10:43)
| | | Даа... ржунимагу, если это так :))) Насколько нужно быть куль-хацкером, что бы догадаться через гостевую письма отправлять :)) | |
| |
|
|
| |
|
|
| |
для: DDK
(05.12.2005 в 10:44)
| | | Вполне реально: ведь уведомление о новой записи в гостевой, как правило, отсылается ее хозяину. Если данные из формы подставляются в заголовок, то туда можно много чего запихать. | |
| |
|
|
| |
|
|
| |
для: Loki
(05.12.2005 в 12:12)
| | | Извращенный у вас ум Александр :))) Кто же будет себе на email слать весь текст книги? В лучшем случаем дату и тему ;) | |
| |
|
|
| |
|
|
| |
для: Akira
(06.12.2005 в 08:49)
| | | А вот тут вы заблуждаетесь, Александр. Уже неоднократно встречал подобные настройки. Например, в форуме ixbt.com при уведомлении о новом ответе в качестве обратного адреса подставляется имя и адрес автора ответа (то есть данные непосредственно в header). Другой вопрос, что они проверяются при регистрации. Если вы обратили внимание, то попытка подставить заголовки в поле имени была произведена тоже. | |
| |
|
|
| |
|
|
| |
для: Akira
(06.12.2005 в 08:49)
| | | >Кто же будет себе на
>email слать весь текст книги?
Я, например, бы стал бы... например, чтобы обдумать ответ, если он требуется... | |
| |
|
|
