Skript Mißbrauch durch Spammer - wo sind die Lücken?

[jnmayer]

Eine whitelist werde ich wohl noch anlegen. Im Moment prüfe ich ob in content "://" oder "../" enthalten ist. Falls ja, wird die IP gespeichert und dann die("Finger weg!"). Reicht das aus, um Zugriffe auf außerhalb der Site zu verhindern, oder gibt es noch weitere Lücken die es zu bedenken gibt?

[jahlives]

Vllt ist is_file() etwas für dich. Funzt nur mit lokalen Dateien und würde bei externen Dateien ein false zurückgeben.

Gruss

tobi

[brusau]

Ma was anderes?

http://www.billard-p3c.de/breakball/...ent=start.html

ändere doch deine Scripte ab.

http://www.billard-p3c.de/breakball/...?content=start

Über einen Switch holst du dir die Files.
Dann sagst du was eingebaut wird.

[Shadun]

Hey, wenn du willst kann ich mal versuchen mich in dein Script einzuschleusen. Das würdest du definitiv in der *.log sehen. Wenn du interesse hast, dann kannst mich ja mal anmailen. Ist nur ein Angebot

[muh (newbie)]

JM was würde eigentlich ?content=`ls` ergeben?

[jnmayer]

Original geschrieben von muh (newbie)
JM was würde eigentlich ?content=`ls` ergeben?

Das wird zwar nicht geblockt, ergibt aber gar nichts, da 'ls' nicht als File existiert. Es gibt nicht mal 'ne Fehlermeldung, nur 'ne leere Seite.

Nachtrag: alles mit einem ' drin, wird nun auch abgewiesen.

[jnmayer]

Original geschrieben von Shadun
Hey, wenn du willst kann ich mal versuchen mich in dein Script einzuschleusen. Das würdest du definitiv in der *.log sehen. Wenn du interesse hast, dann kannst mich ja mal anmailen. Ist nur ein Angebot

Anscheinend kann ich Dir keine PM schicken. So eine Aktion wäre aber schon mal interessant.

Gruß, J. Mayer

[muh (newbie)]

Nachtrag: alles mit einem ' drin, wird nun auch abgewiesen.

Ich habe `ls`mit einem Backtick geschrieben, dh. Execute Zeichen. vielleicht wäre es besser überhaupt alle Sonderzeichen abzuweisen und nur alpha_numerische zuzulassen. Das ist vermutlich übersichtlicher, als jeden Einzelfall abzusichern.

Weiter berücksichtigen, dass solche Daten in die Datenbank gehen, (via logging ungültiger Aufruf=...), von dort wieder auf eine Anzeige gehen.. via ein template-system... welches eval() braucht... und man sich so erwischen kann. Wenn nicht heute, so doch morgen. Dh. kurze Datenpfade und perfekt escapen.

[Shadun]

@jnmeyer
Ich hab dir eine Email geschickt betreffend meinem Post, können des ja mal angehen