| |
|
|
| | Приветствую.
Как может злоумышленик подделать Куки чтобы получить администраторские права? ведь для этого необходимо знать пароль Админа...
??? | |
| |
|
|
| |
|
|
| |
для: 10100100
(29.10.2005 в 14:58)
| | | Неправильно поставлен вопрос. | |
| |
|
|
| |
|
|
| |
для: Atom
(29.10.2005 в 16:21)
| | | и что? смысл то ясен?...
я имею ввиду как может злоумышленник подделать права доступа если он даже пароля то не знает,.... | |
| |
|
|
| |
|
|
| |
для: 10100100
(29.10.2005 в 19:14)
| | | И все таки вопрос поставлен неправильно. Ответить на этот вопрос конкретно невозможно. Фантазия хакеров иногда превосходит все ожидания. Пароль знать и не обязательно если скрипт уязвим перед SQL - инъекциями. Для этого даже не обязательно подделывать COOKIE. | |
| |
|
|
| |
|
|
| |
для: Евгений Петров
(29.10.2005 в 19:21)
| | | хо хо, я то изучил лишь самые основы хакерства.. блин непонимаю о чём Вы говорите... :( точнее как это реализовать...
я то имел ввиду что вот допустим есть на сайте авторизация на куки, и допустим никакие иньекции не проканают то каким макаром можно подделать куки? там ведь всётаки пароль нужен, или вообще не нужен??? | |
| |
|
|
| |
|
|
| |
для: 10100100
(30.10.2005 в 05:46)
| | | Вообще все зависит от метода авторизации. Например, если сделать так, что при авторизации в куки добавляется следующее значение.
Администратор - 1
Администратор2 - 2
|
то в принципе можно ломануть.
Если же в куки добавляется имя и пароль, да еще и в кодированном виде, то шансов мало.
P.S. Вроде так. | |
| |
|
|
| |
|
|
| |
для: Ziq
(30.10.2005 в 08:43)
| | | вот вот у меня второй вариант! | |
| |
|
|
| |
|
|
| |
для: 10100100
(29.10.2005 в 14:58)
| | | >Приветствую.
>Как может злоумышленик подделать Куки чтобы получить
>администраторские права? ведь для этого необходимо знать
>пароль Админа...
Нет ну это зависит от системы аутентификации - если в куки должен лежать пароль, а злоумышленик его не знает - он может подделывать cookie до посиненеия... Предварительно пароль обычно крадут, например, при помощи SQL-инъекции или воруя cookie, или ещё как-нибудь... | |
| |
|
|
| |
|
|
| |
для: cheops
(30.10.2005 в 14:17)
| | | хм, а как можно при помощи Иньекции своровать пароль? ведь чтобы провести иньекцию надо ведь как то её вписать в сайт... | |
| |
|
|
| |
|
|
| |
для: 10100100
(30.10.2005 в 14:44)
| | | Почитайте эту статью. Там все подробно написано | |
| |
|
|
| |
|
|
| |
для: Евгений Петров
(30.10.2005 в 14:48)
| | | о, благодарю, то что нужно! | |
| |
|
|
