http://secureblog.org/ Блог о web-безопасности RU-ru http://secureblog.org/rss.xml SecureBlog 0.1 c0nst@secureblog.org Subscribe with My Yahoo!Subscribe with NewsGatorSubscribe with My AOLSubscribe with BloglinesSubscribe with NetvibesSubscribe with GoogleSubscribe with Pageflakes?????? ? ??????.????? http://secureblog.org/pub/web-audit_update.html зарегистрировавшись на нашем сайте, и добавив адрес сайта в специальную форму.

В чем отличия:
1. Полностью переписан "движок" сайта www.web-audit.net
2. Зарегистрировавшись на сайте, Вы можете воспользоваться собственной панелью управления, которая включает в себя следующие возможности:

• Добавление сайта(ов) в очередь на проверку


• Возможность выбора типа аудита: "Удаленный аудит" или "Проверка исходников"


• Полный контроль над статусом проверки


• Оплата в автоматическом режиме любой из предложенных платежных систем. (WebMoney, Яндекс.Деньги, RBKMoney, ICQmoney, возможны дополнения)


• По окончании проверки, возможность просмотра отчета к каждому сайту в личной панели управления


• Легкая связь с администрацией. Например, если Вы хотите оставить отзыв, или задать какой-либо вопрос, в личном кабинете предоставлена такая возможность

Все проверки по-прежнему проводятся "вручную", что существенно увеличивает вероятность нахождения каких-либо уязвимостей.
Так же изменилась и ценовая политика. Мы снизили цены на 30%. Тарифы на услуги Вы можете посмотреть в разделе "Тарифы".]]> Mon, 1 Sep 2008 0:00:00 GMT http://secureblog.org/pub/web-audit_update.html http://secureblog.org/pub/mod_rewrite_vs_sql_injection.html DimoninG, так как отвечать на один из его вопросов в комментариях было не удобно.
DimoninG пишет руководство по созданию собственного блога на php. Он считает, что возможно защититься от атак sql-injection, просто используя mod_rewrite, чем вводит многих в заблуждение.
Цитата:
Если хакер попытается ввести в адрес не буквенно-цифровой символ, то сервер прервет запрос сразу же. То есть заботиться об этом в самом движке уже не надо.

Просто в данном случае мне кажется, что при записи в .htaccess вида A-Za-z0-9_ нельзя подставить никакую sql-inj.
Приведите ее пример, пожалуйста, который бы срабатывал и при этом хакал или хотя бы вешал двигло?.. Кроме подставления всякого бреда типа ’sdfsdfwerekjhf’, запись о котором просто не найдется в базе данных. Ну и без всякого бреда, типа переполнение буфера интерпретатора, я не знаю :)
Даже кавычку не подставить - сразу вылезет ошибка веб-сервера.
В какой-то степени, это правда. Но! Это ГРУБЕЙШАЯ ошибка программистов. Взломщик может подобрать запрос вида index.php?category=[sql-inj] (к примеру), тут никакой mod_rewrite не поможет.
НИКОГДА нельзя доверять данным, получаемым со стороны клиента! Ибо их можно подделать. Что ж, будем действовать "от противного", то есть напишем заведомо небезопасасный код, в котором не будем фильтровать входящие данные.

Просили пример? Получайте.]]> Mon, 25 Aug 2008 0:00:00 GMT http://secureblog.org/pub/mod_rewrite_vs_sql_injection.html http://secureblog.org/pub/webinsta_cms_local_include.html
Раскрытие путей:
http://host/admin/modules/about.php
http://host/modules/counter/module.def.php
http://host/modules/usersonline/module.def.php

Локальный инклуд:
http://host/admin/modules/about.php?name=../../../../../../../../../etc/passwd%00

$name=$_GET['name'];
include("../../modules/$name/module.info.php");

А я думал, что такого уже нигде не встретишь...

Защититься можно так:

<?php
// закрываем доступ для обычного посетителя
if(!isset($_SESSION["login"])) {
header("Location: ../admin.php");
return;
}
// проверяем $_GET['name'] на вшивость
$name = quotemeta($_GET['name']);
if(file_exists("../../modules/$name/module.info.php")) {
include("../../modules/$name/module.info.php");
} else { die(); }
?>]]> Sat, 23 Aug 2008 0:00:00 GMT http://secureblog.org/pub/webinsta_cms_local_include.html http://secureblog.org/pub/j2j.html Система недавно начала свою работу, зарегистрироваться можно только по приглашению.

Сайт системы - www.j2j.ru, чтобы зарегистрироваться по приглашению для посетителей secureblog.org, заходим по этой ссылке и выбираем "Регистрация".

Для тех, кто живет за счет рефералов - в j2j отличные условия и многоуровневый система комиссионных выплат. Сервис выплачивает 25% от своей комиссии с оборота приглашенного вами пользователя, а так же 50% от заработка по партнёрской программе ВСЕХ ваших рефералов, сколько бы их не было.
Так что, если даже у вас нет собственного сайта, то можно получить доход рекламируя саму систему, а т.к. она новая и пока малоизвестная, возможностей для этого очень много ;)]]> Tue, 19 Aug 2008 0:00:00 GMT http://secureblog.org/pub/j2j.html http://secureblog.org/pub/new_attack.html Пользователи сразу нескольких интернет-форумов сообщили об обнаружении новой и довольно странной атаки, заключающейся в отравлении буфера обмена операционной системы. Атака является универсальной и ей подвержены пользователи всех современных настольных операционных систем, имеющих графический интерфейс.

]]> Mon, 18 Aug 2008 0:00:00 GMT http://secureblog.org/pub/new_attack.html