Вы держите букс на скрипте SeoEdit или MFS 2.2? А вы знаете, что недавно мною была найдена уязвимость, с помощью которой можно получить абсолютно любые данные с базы данных (пароли, логины, e-mail\'ы и т.д. и т.п.). Так вот, я предлагаю исправить этот серьезный баг, дабы не взломали ваш букс.
Уязвимость, а именно SQL-инъекция, была найдена в нескольких файлах, которые, в данный момент исправлены, и лежат в архиве, ожидая Вас. Дабы Вы не подумали, что это какой-то развод, просьба посетить . В ней я предоставил скриншоты с аккаунтов, в которые я с лёгкостью заходил. А также есть подтверждения, написанные администратором SFB - Владом (-xXx-).
Поставьте фикс и не беспокойтесь о том, что ваш букс могут взломать в любой момент. Инструкция по установке фикса прилагается. Ничего сложного в этом нет.
ИльюхА
- 20 мар 2012Главное все лазают смотрят у кого есть у кого нет, а сказать так никто и не говорит где проводиться инъекция, каким запросом.
Вот например на простом суфасте инъекцию можно проводить при редактирование задания и при оставление комментария. т.к. там фильтрация нулевая
Короче если хорошо все смотреть, то много где можно инъекцию провести.
даже если взять функции
function uc($mensaje)
{
if (!ereg("^[a-zA-Zа-яА-Я0-9\\-_]{1,255}$", $mensaje)) {
$mensaje = htmlentities(stripslashes(strtolower(trim($mensaje))));
$mensaje = str_replace("'"," ",$mensaje);
$mensaje = str_replace(";"," ",$mensaje);
$mensaje = str_replace("$"," ",$mensaje);
return $mensaje;
}else{ return $mensaje; }
}
function check_email($email) {
// Проверяем корректность введенного email на уровне формата
if (ereg( "/[0-9a-z_]+@[0-9a-z_^\\.]+\\.[a-z]{2,3}/i", $email)) {
return '';
} else {
return $email;
}
}
На сколько я знаю ее можно легко обойти Null byte
Просто никто еще нормально скрипт не посмотрел :-) На данный момент никому это не надо было.
Alex
- 20 мар 2012та ебать везде есть если так подумать))
ну походу ажиотаж упал) народу стало неинтересно))) просто все отчаялись так резко толпой)
а я уже везде полазел посмотрел.и на clicken.ru тож есть,как ни странно.мб там правда админ старыый добрый "астана" (wm-astana.ru) или кто я хз)
NGS
- 20 мар 2012тут форум выкладывали для seoedit также есть SQLinj ;) Enjoy!
Alex
- 20 мар 2012что касается бага
как бы там ни было мне руфус про него уже намекал когда ещё существовал raskrutim-bux.ru
далее в мфсах я заковыривал\\
потом кто то свои фиксы начинал делать
короче на том же stablefox.ru хотя там обновлял всё я с обновлений на сеоедит я не нашёл его)
так что я хз а ошибка банальная и помню что не раз фиксил) где щас это я хз)
Andryhalyva
- 19 мар 2012Да вообще у кого говно-буксы не покупайте нах,серовно вы пролетите...!