SQL Injected Headerlogo

[WH-Tim]

Hahahaha ik weet nog niet precies van wie de pagina is, maar check de SQL Injection in de header van deze pagina eens. Ohja, ook een 'passwoord' zetten is mogelijk

Echt prachtig om te zien gewoon

[kilian]

leg eens uit.

[WH-Tim]

Origineel geplaatst door kilian
leg eens uit.

$query = mysql_query("SELECT * FROM users WHERE username = '". $_POST['username'] . "' AND password = '" . $_POST['password'] . "' ")

Als jij mensen zo behandeld die een script bij jouw afnemen zou ik jouw toch wel op me blacklist zetten hoor..

[WH-Tim]

Ik zal het je makkelijker maken: Ik log meestal in met de username:

' or '1'='1

en wachtwoord:

' or '1'='1

tjing tjing, ingelogd Of je doet natuurlijk gewoon een errors kweken en de tabelstructuur achterhalen waarna je jezelf als admin doet inserten

[PowerSp00n]

Aan alleen dat ene regeltje hier kun je nog niet met zekerheid zeggen of er geen maatregelen tegen genomen zijn. Al had het natuurlijk wel een stuk netter gekunt . Wel grappig inderdaad, al let ik nooit zo wat er exact in die headertjes staat

[WH-Tim]

Nou, ze hebben anders ook een handje aan OpenDirs, en vooral de .fla en .psd bestanden in die mappen zetten is ook een grote hobby van ze

[kilian]

Origineel geplaatst door WH-Tim
Ik zal het je makkelijker maken: Ik log meestal in met de username:

' or '1'='1

en wachtwoord:

' or '1'='1

tjing tjing, ingelogd Of je doet natuurlijk gewoon een errors kweken en de tabelstructuur achterhalen waarna je jezelf als admin doet inserten

Wat doe je daartegen? Addslashes()?

[V. Kleijnendorst]

Misschien staat magic_quotes wel aan.

[Ic3man]

Origineel geplaatst door kilian


Wat doe je daartegen? Addslashes()?

mysql_real_escape_string();

[WH-Tim]

Kan allemaal

Ik heb gewoon een eigen functie draaien die alle input vars veilig maakt. Voor getallen kun je is_numeric gebruiken, voor overige bijv preg_replace oid. Een query van mij ziet bijv zo uit:

$query = mysql_query("SELECT * FROM users WHERE username = '".MyStripInput($_POST['username'])."' AND password = '".MyCheckID($_POST['password']). "' ");

En natuurlijk altijd met md5($_POST['password']) werken

[Ic3man]

Origineel geplaatst door WH-Tim
En natuurlijk altijd met md5($_POST['password']) werken

In mijn opini heeft het hashen van een wachtwoord enkel zin als het als hash van de client naar de server gestuurt wordt (doormiddel van java script bijvoorbeeld). Het gehashed opslaan van een wachtwoord heeft niet heel veel zin, hiermee voorkom je enkel dat mensen de wachtwoorden niet uit een database kunnen halen.

Erg moeilijk is het trouwens ook niet om 1 maal een hele groote md5 database te bouwen waarin alle combinaties zijn tot een X aantal karakters (8 is meestal al voldoende, veel mensen gebruiken simpele en korte wachtwoorden).

[WH-Tim]

Dat soort databases bestaan al Ic3man, en ik heb er al toegang tot gehad. Het klopt inderdaad wat je zegt, maar als je eenmaal ergens SQL Injection hebt zou je zomaar iedereen zijn wachtwoord kunnen uitlezen, en wellicht op 100 andere plekken kunnen gebruiken om in te loggen. Encryptie voorkomt dit. Ook wanneer er een keertje een SQL error voordoet kan een dergelijke string worden weergegeven, of bijv voor cookielogins.

Tal van zaken waarvoor encryptie sterk aan te raden is.

[Remigius]

Ik zou toch zweren dat ik ook een reactie had geplaatst in dit topic... Naja, ik werk iig ook altijd met MD5 en ik moet zeggen dat ik het ook niet bijster verstandig vind om wachtwoorden plain-text in de database te zetten

[kilian]

Origineel geplaatst door WH-Tim
Kan allemaal

Ik heb gewoon een eigen functie draaien die alle input vars veilig maakt. Voor getallen kun je is_numeric gebruiken, voor overige bijv preg_replace oid. Een query van mij ziet bijv zo uit:
*code*
En natuurlijk altijd met md5($_POST['password']) werken

Voor getallen gebruik je toch een intertje?

$var = (int)$var; 

En om aan je injectie te ontsnappen moet je, lijkt mij, gewoon de '-tjes kwijt raken. Of denk ik nu te makkelijk?

[Raptor]

Gewoon encrypten die zooi, en de manier van WH-Tim gebruiken