Onderwerp: exploit script

De trim() functie in PHP doet wat meer dingen dan de trim() functie in ASP

Ik ben een PHP-ert. Ik doelde op het feit dat de tekens alleen aan het begin en eind verwijderd worden en niet in het midden. Als je eindigt met een header zal trim niets doen. Je laat nu iets anders zien en daar zie ik inderdaad een regex om ervoor te zorgen dat er geen 'foute' waarden in de string staan.

Je regex hoeft voor deze injection natuurlijk geen mx lookup gaan doen.

Als een bot een pagina opvraagt zoals een bezoeker dat doet en vervolgens een post doet zoals een bezoeker dat doet heb je nog steeds niets aan je geheime code. Je onderscheidt er geen bot van een bezoeker mee.

Oorspronkelijk geplaatst door V. Kleijnendors

Ik ben een PHP-ert. Ik doelde op het feit dat de tekens alleen aan het begin en eind verwijderd worden en niet in het midden. Als je eindigt met een header zal trim niets doen. Je laat nu iets anders zien en daar zie ik inderdaad een regex om ervoor te zorgen dat er geen 'foute' waarden in de string staan.

Mea Culpa, de regex heb ik bij in het artikeltje geflantst, waarvoor dank

Als een bot een pagina opvraagt zoals een bezoeker dat doet en vervolgens een post doet zoals een bezoeker dat doet heb je nog steeds niets aan je geheime code. Je onderscheidt er geen bot van een bezoeker mee.

Ik heb nog nooit een bot op het "submit" formpje zien drukken Nee, alle gekheid op een stokje: ik heb nog nooit mee gemaakt dat een bot alle form-waardes ophaalt om deze later te gebruiken in het submitten van spam. Ik zeg niet dat het onmogelijk is, ik heb het alleen nog nooit gezien. Eens werd in nl.internet.www.server-side geopperd om een tijdafhankelijke waarde mee te geven via PHP. De waarde is dus constant anders.

Overigens, tegenwoordig worden tieners door spammers betaalt om van een lijst websites alle formulieren bij langs te gaan om te spammen. Geen enkele beveiliging heeft dan zin, helaas.