Archief - 1 April

[azerty_2006]

Hoi .

Ik heb van de gelegenheid gebruik gemaakt om een bugje in de server-side checks duidelijk te maken. In veel plaatsen word een vote niet gecontroleerd. Hierdoor is het mogelijk zelf votes te "craften" via HTTP calls (zie de SOTD score).

if ($score > 10 || hasVoted($id)) /* error */;

http://i43.tinypic.com/ehnllx.png

[GammaGamer]

Nice aprilgrap

[Vedeco]

Haha , super !

[azerty_2006]

'tis eens iets anders hé .

[Darius Craven]

Geweldig

[MrFlava-]

nice!

[valies]

><>°

[Timmos]

Wat is er fout aan die code? Dat ze niet op < 0 gecheckt wordt?

https://www.beyondgaming.be

[Rizla+]

ik snap het ni...

[demon326]

Wat is er fout aan die code? Dat ze niet op < 0 gecheckt wordt?

9lives - Screenshot-of-the-day

ik snap het ni...

Azerty wilt gewoon op een leuke manier tonen dat het vote systeem vatbaar is voor een Cross-site scripting (XSS) "aanval"..

Er zijn ruwweg drie verschillende soorten XSS aanvallen. Bij het eerste soort XSS aanval wordt in een client-side script de invoer van de gebruiker gebruikt, bijvoorbeeld informatie uit de URL, om een stuk van de pagina te genereren, zonder deze informatie te controleren of te beveiligen. Bij het tweede soort aanvallen wordt de invoer van de gebruiker naar de server gestuurd en daar wordt de invoer zonder gecontroleerd of beveiligd te worden gebruikt om een HTML pagina te genereren. Hetzelfde gebeurt bij het derde type, alleen dan wordt de informatie in een database opgeslagen en dan gebruikt bij het genereren van HTML-pagina's voor meerdere personen. Dit laatste kan bijvoorbeeld gebeuren wanneer de tekst die wordt ingevoerd op bijvoorbeeld een discussieforum niet gecontroleerd wordt.

[Timmos]

Wel er is toch controle op de vote?

Ik zie gewoon niet veel aan één simpel if-statement.

[demon326]

Wel er is toch controle op de vote?

Ik zie gewoon niet veel aan één simpel if-statement.

Azerty zegt zelf in zijn post:

"op veel plaatsen is er géén controle, dus ik kan via de url votes aanmaken.."

//edit: zelf eens even geprobeerd... redelijk simpel te doen en geen kennis van "hacken" nodig . Ik wil ook geen pm's krijgen met hoe het uit te voeren, ge krijgt de info toch niet

[whatever9]

Wel er is toch controle op de vote?

Ik zie gewoon niet veel aan één simpel if-statement.

het if statement is dan ook de oplossing tot het probleem, niet de oorzaak

[[Dark-Fury]]

nice

[Wijsheid]

Leuk

[Bram]

Is idd wel nice :' )

De score voor diejen screen is ondertussen OVER 9000.

[Dinsdagland]

Ge beseft toch dat dat nu elke dag gaat gebeuren?

[WarrantyVoid]

hahaha

[Preske]

Azerty zegt zelf in zijn post:

"op veel plaatsen is er géén controle, dus ik kan via de url votes aanmaken.."

//edit: zelf eens even geprobeerd... redelijk simpel te doen en geen kennis van "hacken" nodig . Ik wil ook geen pm's krijgen met hoe het uit te voeren, ge krijgt de info toch niet

geen pm's,
en in mail?

[Timmos]

Blijkbaar is de score voor de komende SOTD's ook al aangepast