Digart przekolorowany
O Digart
Serwis digart.pl jest serwisem internetowym adresowanym do twórców sztuki cyfrowej , który obejmuje różnorodne dziedziny sztuki: od grafik, rysunków, poprzez fotografie, projekty stron internetowych, a skończywszy na poezji, prozie i innych obszaraqch sztuki. Serwis digart.pl umożliwia umieszczanie prac (graficznych oraz tekstowych) oraz ich prezentację na stronach serwisu.
Błędy
Dzisiejszej nocy miała miejsce premiera nowej wersji strony serwisu Digart. Jest on niemal już kultowy dla niektórych grafików (właśnie grafików, więc co ja tam robiłem? ;-)). Podczas przystosowywania serwisu do web dwa zerowych standardów ktoś zapewne przez przypadek popełnił kilka drobnych błędów. Jakich? spójrzcie poniżej.
Przykład
1. Link
Wpisanie zamiast nazwy użtkownika apostrofu, którego zadaniem jest zamknięcie niezabezpieczonego zapytania SQL skutkuje ukazaniem nam ładnego napisu:
MySQL err: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''''' at line 1
Czyli mamy podłoże do SQL Injection, szkoda że nie ma nazw pól ;-)
2. Link
Sytuacja podobna do przedstawionej wyżej.
MySQL err: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''''' at line 1
3. i 4. 
Link
Odpowiedź
Dostałem dwa maile od dwóch adminów Digart z podziękowaniami.
Poprawki
Błędy związne z bazą danych zostały poprawione, jeśli chodzi o HTML Injection to dodane zostało zamienianie specjalnych znaków HTML na encje (nadal można wstrzyknąć swój napis).
ConSi napisał(a): #1
13.07.2006 20:59
Phi to nie to co ostatni atak :PP
SZK napisał(a): #2
13.07.2006 21:01
Wymiekam z Ciebie Beldzio :D (w pozytywnem znaczeniu) Ja to anwet bym nie wpadł na....... nawet nie wime jaki przykłąd podać. Ale mogłeś głosowaś za starym DA tylko poprawić błędy bo ten jest gorsiejszy :]
Bełdzio napisał(a): #3
13.07.2006 21:03
@SZK ja jestem koderem, a nie grafikiem ;-) Na Digi nie zaglądam ;-)
bialy663 napisał(a): #4
15.07.2006 15:05
Chyba porpawili błędy MySQLa (2 pierwsze błędy)
Bełdzio napisał(a): #5
15.07.2006 15:25
Tak, można powiedzieć że poprawili wszystko :-) Wczoraj dostałem 2 maile od adminów i dziś miałem o tym napisać. Dopiero wstałem więc zaraz to zrobie :P
m. napisał(a): #6
15.07.2006 22:45
Moim zdaniem kolor czcionki na tym blogu jest dużym błędem :/
Bełdzio napisał(a): #7
15.07.2006 22:52
A no, taka została wybrana przez autora szablonu, ale Megus (grafik) złożył już deklarację zrobienia nowego tak więc poczekamy zobaczymy :-)
x3n napisał(a): #8
17.07.2006 11:21
Do listy 'wielkich i dotknietych' mozesz dopisac Wykop.pl - rowniez podatni na XSS'a ;)
Bełdzio napisał(a): #9
17.07.2006 11:23
He he he :-) Jak widać sporo tego jest :-) tak tylko rzuciłem okiem na wykop - masz coś poza szukaczką?
x3n napisał(a): #10
17.07.2006 11:38
Niestety, do poziomu Twojej znajomosci PHP to mi daaaaleeeeekoooooooooo... ;)
coldpeer napisał(a): #11
7.09.2007 17:16
Bełdzio: http://7pl.pl/32
coldpeer napisał(a): #12
7.09.2007 17:22
Bełdzio: http://7pl.pl/32