Neueste Beiträge

Re: Wortbausteine

von V-L-Tier am 07.05.2014 23:23

Tageszeit

Re: nervige Leerzeile!

von DickeFleischwurst am 07.05.2014 23:23

Hehe ich würde mich durch die SQL Injection selber zum Admin machen und zwar von der ganzen Datenbank.

Aber ich hoffe echt, dass die nicht so doof waren hier den User mit dem in die DB geschrieben wird mit Adminrechten versehen zu haben. Echt kein Witz, so etwas ist schon unzählige male vorgekommen, weil man zu faul war einen separaten User anzulegen oder weil eine Testversion/Prototyp zu eine Produktionsversion geworden ist.

Re: Wortbausteine

von ArchonArkanos am 07.05.2014 23:22

Werktag

Re: nervige Leerzeile!

von koali am 07.05.2014 23:21

Hö, was hat das mit mir zu tun?

Re: nervige Leerzeile!

von DickeFleischwurst am 07.05.2014 23:08

Man kann wohl auch direkt hier HTML Code einfügen, die dann die Anzeige des Browsers manipuliert.

So etwas ist immer sehr gefährlich, weil es ein Anzeichen dafür ist, dass SQL Injection betrieben werden kann.



http://nerdpol.yooco.de/forum/edit_thread.html?thread_id=12463702

Erzeugt vielleicht intern den folgenden Ausdruck, um das Posting aus der Datenbank zu lesen.

Erzeugtes SQL SELECT author, subject, text FROM thread WHERE ID=12463702; 

Was hindert mich einfach mal die Abfrage etwas zu frisieren?

 http://nerdpol.yooco.de/forum/edit_thread.html?thread_id=12463702 UPDATE USER SET TYPE="admin" WHERE name='DickeFleischwurst';

Ich schiebe dem WebServer also ein SQL unter, welches ich nie hätte ausführen dürfen. 

Tja so laufe ich dem Koali seinen Rang ab. :-D

Noch schlimmer, denn die User Tabelle ist eine interne Tabelle von MySQL und dann kann ich auch auf andere Foren zugreifen und das wird den yooco Admins bestimmt nicht gefallen. https://dev.mysql.com/doc/refman/5.1/de/adding-users.html

Re: nervige Leerzeile!

von DickeFleischwurst am 07.05.2014 23:00

Hallo,

ok dann will ich mal den Erklärbär machen.

Wenn man sich die Seite, die durch den Web Server als statischer Content an den Client (eure Browser) geschickt wird, auf Quellcode Ebene ansieht, dann stellt man schnell fest, dass die Leerzeile durch ein nicht nötigen < p >

erzeugt wird. Normalerweise steht da nur ein Tag. In dem code steht jedoch folgendes:

< p > < p > Dein Text < / p> < / p >


Im CSS Code der Seite findet sich auch ein Stylesheet welches dieses Verhalten jedoch nicht überschreibt. 

Das ist einfach schlecht programmiert. Ich schätze mal, ohne den PHP Code gesehen zuhaben, dass der Rückgabewert aus der Datenbank, in dem dein Posting gespeichert wird durch mehrere Funktionen gereicht wird und dort dann einmal zu viel das < p > Tag konkateniert wird.

Wenn man sich über die Übersichtseite den erstellten Post ansieht (hier gibt es die Leerzeile nicht), dann sieht man folgenden Code.

< p > Dein Text < / p >

Mein Fazit: Bug im Code.

 

Reicht das als Erklärung?


Gruß

Df

Re: nervige Leerzeile!

von plastikloeffel am 07.05.2014 22:59

hm....benutzt du immer denselben Computer/Phone wenn du hier was postest?

und daran ist nur Dennis schuld!
und dann kommt Backfish mit der Streckbank!
Man findet mich auch auf youtube & twitch & Instagram & twitter & deviantart

Wortbausteine

von Hexxchen am 07.05.2014 22:49

Wir brauchen ein neues Spiel!

Und das funktioniert ganz einfach:


Baum[haus]

Hausrats[versicherung]

Versicherungs[betrug] 


Immer ganze zusammen geschriebene Wörter!
______________________________________________________________________________________

Hilfswerk 

Re: Assoziationsketten

von dain am 07.05.2014 22:48

Drachenbeinthron

Re: Assoziationsketten

von Hexxchen am 07.05.2014 22:35

Bein