Meine Homepage: Virtual-Meetings.de

[Seggl-hoch-drei]

Hallo,

wie findet ihr Virtual-Meetings.de? Es ist eine Community, die ich geschrieben habe, um mich mit PHP, MySQL, JS, AJAX und HTML vertraut zu machen.

Bald will ich alle Tabellen durch Divs ersetzen und die Links mit mod_rewrite umschreiben.

link: http://www.virtual-meetings.de/

simon

[tontechniker]

PHP Fehler, Spam im Gästebuch, unübersichtlich, Popups, wenn ich in die Historie schaue habe ich den Eindruck das Design war schonmal aufgeräumter ... nur mal meine Meinung dazu.

[Seggl-hoch-drei]

wo sin php-fehler? und was genu findest du unübersichtlich?

dann änder ich das ;-)

[lennart]

ich ahne sehr, sehr, sehr böses:

http://www.virtual-meetings.de/index...ite=gb&seite=;

Warning: mysql_num_rows(): supplied argument is not a valid MySQL result resource in /var/www/web283/html/virtual-meetings/scripts/gb-include.php on line 65

edit:

das selbe bei der suche - also warscheinlich überall auf der seite

edit2:

die sehr, sehr, sehr böse vorahnung hat sich bestätigt!
http://www.virtual-meetings.de/index...=1%20AND%201=1

...das übel an php. jeder glaubt es zu können...

ich würde die seite an deiner/eurer stelle erstmal abschalten

[Seggl-hoch-drei]

äh... die get-variablen werden alle escaped.
was willst du mir mit dem AND 1=1 sagen?

und warum soll ich wegen dem bug im GB die seite abschalten? der lässt sich beheben

EDIT: Sehe gerade, dass ich das is_numeric im GB vergessen habe. Jetzt kommt kein Fehler mehr...

EDIT: Auch der Fehler in der Suche wurde behoben. Danke, dass du ihn gemeldet hast. Jetzt frag ich mich nur noch, was das AND 1=1 zu bedeuten haben soll

[lennart]

Original geschrieben von Seggl-hoch-drei
Jetzt frag ich mich nur noch, was das AND 1=1 zu bedeuten haben soll

Das nennt sich blind SQL Injection. Kann man benutzen wenn error reporting aus ist und eine Manipulation eine z.B. leer Seite ergibt. Wenn man jetzt einen AND 1=1 anhängt und die Seite genau gleich angezeigt wird wie ohne Manipulation, dann werden die Manipulationen übernommen.

[Seggl-hoch-drei]

Ich dachte eigentlich, SQL-Injections wären, wenn man SQL-Code in die URL mit einbindet und so was an der Db verändern kann.

Wikipedia sagt:

Von einer blinden SQL-Injektion spricht man, wenn ein Server keine deskriptive Fehlermeldung zurückliefert, aus der hervorgeht, ob der übergebene Query erfolgreich ausgeführt wurde oder nicht. Anhand verschiedenster Kleinigkeiten wie etwa leicht unterschiedlicher Fehlermeldungen oder auch charakteristisch unterschiedlicher Antwortzeiten des Servers kann ein versierter Angreifer häufig dennoch feststellen, ob ein Query erfolgreich war oder einen Fehler zurückmeldet.

mit AND 1=1 passiert doch nichts?!?

gegen SQL-Injektions bin ich eigentlich immer mit mysql_real_escape_string bzw. addslashes vorgegangen....

gibts noch irgendwas, was ich für die sicherheit tun kann?

[Gavyn]

Original geschrieben von lennart
Das nennt sich blind SQL Injection. Kann man benutzen wenn error reporting aus ist und eine Manipulation eine z.B. leer Seite ergibt. Wenn man jetzt einen AND 1=1 anhängt und die Seite genau gleich angezeigt wird wie ohne Manipulation, dann werden die Manipulationen übernommen.

Gibts darüber irgendwo was zu lesen? (Außer http://de.wikipedia.org/wiki/SQL-Injektion)

Weil so ganz schlüssig ist mir das irgendwie nicht, wie AND 1=1 nun auf eine Sicherheitslücke hinweisen soll.

[Seggl-hoch-drei]

Original geschrieben von Gavyn
Gibts darüber irgendwo was zu lesen? (Außer http://de.wikipedia.org/wiki/SQL-Injektion)

Weil so ganz schlüssig ist mir das irgendwie nicht, wie AND 1=1 nun auf eine Sicherheitslücke hinweisen soll.

das frag ich mich allerdings auch....

[lennart]

Original geschrieben von Gavyn
Gibts darüber irgendwo was zu lesen? (Außer http://de.wikipedia.org/wiki/SQL-Injektion)

http://www.spidynamics.com/whitepape...LInjection.pdf z.B.

[Gavyn]

Danke

[Seggl-hoch-drei]

hat sonst noch jemand eine/mehrere sicherheitslücke(n) gesehen?
auch für Verbesserungsvorschläge bin ich offen ;-)

[aimbot]

wenn ich leere forms submitte kommt "Ein unbekannter Fehler ist aufgetreten." das ist imho von der usability ziemlich für den arsch. besser wäre, wenn die nicht korrekt ausgefüllten felder markiert und der fehler mit einer gescheiten meldung beschrieben werden würden. unbekannt ist der fehler ja wohl nicht

ebenso im ausgeloggten zustand auf "mein profil" => "profil-id ist nicht im richtigen format"

genauso kann ich foreneinträge schreiben und erst beim klick auf "speichern" wird mir gesagt, dass ich mich erst einloggen/registrieren muss.

bei der registrierung wird die e-mail-adresse nicht mal auf richtigkeit geprüft.

das hab ich jetzt in max. 2-3 minuten gefunden.......

[deathcakeman]

Im Forum kommt zu dem noch folgender Fehler:

Warning: in_array(): Wrong datatype for second argument in 
/var/www/web283/html/virtual-meetings/scripts/forum-include.php on line 218 

Ich würde an deiner Stelle die Seite nochmal vom Netz nehmen und mir über mein Sicherheitskonzept gedanken machen.

[Seggl-hoch-drei]

> wenn ich leere forms submitte kommt "Ein unbekannter Fehler ist
> aufgetreten." das ist imho von der usability ziemlich für den arsch.
> besser wäre, wenn die nicht korrekt ausgefüllten felder markiert
> und der fehler mit einer gescheiten meldung beschrieben werden
> würden. unbekannt ist der fehler ja wohl nicht

Die meisten Formulare werden mit JS geprüft. Welches Formular meinst du?

> ebenso im ausgeloggten zustand auf "mein profil" => "profil-id ist
> nicht im richtigen format"
Oh, danke :-) Habs geändert...


> genauso kann ich foreneinträge schreiben und erst beim klick auf
> "speichern" wird mir gesagt, dass ich mich erst
> einloggen/registrieren muss.
Danke für den Hinweis. Jetzt müsste es stimmen...

> bei der registrierung wird die e-mail-adresse nicht mal auf
> richtigkeit geprüft.

Derzeit wird nur geprüft, ob ein "@" vorkommt :-D
Ich schreibs auf meine Todoliste

Simon