בבקשה תעזרו לי ... כל הזמן פורצים לי. פרצו לי איזה 10 פעמים היום.
כל פעם אני מתקן ומעלה תגיבוי של הבסיס נתונים והם פורצים שוב, אין לי מושג איך הם פורצים. אני חושב שהם הזריקו לי משהו אבל אין לי מושג איפה הם מזריקים כי אני לא מצליח להזריק לעצמי כלום

להעביר בבקשה לפורום PHP אם זה לא מתאים לכאן.

http://fcp.kuchi.be

יש לי כמה רעיונות.
1. תיבדוק באיזה רשומה במסד, הם הזריקו לך, ותשווה אם הקוד שרושם שם... (תוודא שהוא מסנן תגי SQL וכו...)
2. תיבדוק את הקוד של הדף האישי וכל השאר מה שהוספת, כי עד כמה שזכור לי, לא הגנתה ביכלל...
3. אם זה חוזר על עצמו, תנסה ליסגור דברים (ליסגור זמנית את ההרשמה, ליסגור זמנית את הדף האישי, לימחוק משתמשים שאתה לא מכיר.) וכך אולי תעלה על איפה הם מזריקים...
4. השרת שלך שרת חינאמי? אם כן,(גם אם לא, שווה לך לעשות את הבדיקה הזו) תיבדוק שלא ניתן לגשת לקבצים של השרת על ידי כתיבת סקריפת. (למשל ליקרא את הקובץ c:\boot.ini)
5. אתה משתמש במערכת IPB. עד כמה שידוע לי, המערכת פריצה, התקנתה מוד אבתחה או משהוא כזה?

כל מערכת פריצה. הם מזריקים לי SQL איכשהו וזה משגע אותי ....
עכשיו שיניתי כמה דברים והוספתי אבטחה בכל מיני מקומות קטנים אני מקווה שזה יעזור ...
הוספתי פונקצייה למקומות של קטל שבודקת אם הקלט (שדה כלשהו שהמשתמש הכניס בו מידע) מכיל ביטויים לפריצה כמו SELECT, UPDATE , INSERT INTO וכו...... ואם הם מכילים אחד מהביטויים פשוט לא הרצתי תשאילתה ....

לא כדאי לך להיתעסק אם איזה ביטוי. כדאי לך בכל מקום, לסנן (או להחליף ל-UTF-8 או לכל דבר שלא יחשב בשאילתא כאותו תו) את כל התווים: (,);:<>&!$%=+-

אחשיו עלה לי עוד רעיון, בכל דף ודף, תישמור לוג שיכיל: תאריך ושעה, IP, סשן, את הדף שהוא גלש בו, ואת נתוני ה-POST. זה כימאת בתוח יגלה לך מה הבעיה...

הרעיון השני לא ממש יעיל כי הוא מבזבז המון מקום בDB אם יש פעילות רבה באתר וגם אם פרצו איך אני אמור לדעת איך פרצו ? יהיה לי תIP שממש לא עוזר לי... יהיה לי באיזה עמוד הוא גלד ובאיזה שעה ....
אם אני מגלה שעה אחרי הפריצה שפרצו. זה לא יעזור לי למצוא איפה הבעייה ...
ולא הבנתי את הרעיון הראשון, אהבתי את הרעיון אבל אני צריך ליישם אותו בכל שדה קלט באתר וזה ממש הרבה.

הפונקצייה שמגלה הזרקות שבניתי היא

קוד PHP:

 if(str_replace(array("javascript","insert","select","union","update","drop","alert","JAVASCRIPT","INSERT","SELECT","UNION","UPDATE","DROP","ALERT"),'',strip_tags($Upage_name)) != $Upage_name){$stop=1;} 


במקרה שהמשתנה הוא $Upage_name

וכם אם stop הוא 1 אני לא מבצע תשאילתה ...

1. השורה שלך לא תיפעל אם השאילתה היא ממילא שאילתת עידכון. למשל אם הוא מזריק לעמוד האישי, הוא לא חייב להישתמש באחד מהביטויים שכתוב שם.

2. בקשר ללוג, אתה תדע בדיוק איך פרצו לך כי אתה תיראה את נתוני ה-POST, כך תגלה את השאילתה, אתה תראה מאיזה עמוד זה, כך תגלה איפה הזריקו, אתה תדע שעה, זמן, ו-IP, תוכל לפנות לספק אינטרנט שלו ולהיתלונן. מספיק סיבות לא? ואל תידעג, MYSQL יחזיק. תאמין לי שזה לא יכביד יותר מידי...

3. אני מציע לך כן לנסות את האבתחה של השרת כי אולי הבעיה שם (ואז אין לך יותר מידי מה לעשות חוץ מלפנות לבעל השרת...)

לדוגמה: בשדה של שם פרטי יש להוריד כל תו שאינו אות. בשדה של אימייל: מותר רק אותיות, ספרות, underscore (_), נקודה ושטרודל. וכך הלאה.

Gallery

Pentax K100D + Pentax SMCP-DA 18-55mm f/3.5-5.6 AL + SMC Pentax-M Macro 1:4 50mm + SMC Pentax 1:2.8/105mm + SMC Pentax-M 1:2.8 35mm + SMC Pentax 1:1.4/50mm

למערכת הפורומים של PHPBB יש טריק חביב למדי למניעת הזרקה:
כל טקסט שנכנס ב-INPUT למערכת עובר דרך הפקודה הבאה:

קוד PHP:

 str_replace("\\'", "''", $text); 


כאשר כל הפקודות SQL משתמשות בגרש בודד:

קוד PHP:

 $query = "SELECT * FROM table_name WHERE Param = '" . str_replace("\\'", "''", $text) . "'"; 


בצורה כזו, אם ינסו להזריק לך דברים, למשל להכניס במקום אימייל:

קוד:

something' AND 'A' = 'A'

כל גרש יוחלף בשנים מה שיתן ביטוי SQL שגוי.

נקווה שזה יעזור לך...

חוץ מזה תנסה לחשוב על עוד פרצות הגנה שעלולות להווצר אצלך, כמו שימוש לא צפוי במשתני GET.
ועוד בעיות אבטחה.

שיהיה בהצלחה

חתימתכם הוסרה כיוון שלא עמדה בחוקי האתר. לפרטים נוספים לחצו כאן. תוכלו לקבל עזרה להתאמת החתימה לחוקים בפורום חתימות וצלמיות.

כלומר מה שאתה אומר לי זה לקחת כל דבר שנכנס דרך שדה טקסט ולעשות לו

קוד PHP:

 $text = str_replace("\\'", "''", $text); 


?

החלטתי לעשות את הרעיון שרמי ד נתן, פשוט להכניס בכל כניסה לעמוד נתונים על העמוד.
אני אכניס את שם המשתמש באתר, את הכתובת של העמוד ואת הIP.
הבעייה שלי היא שאני לא יודע איזה משתנה מכיל את הכתובת שיש למשתמש בדפדפן ? מישהו יודע ? זה משתנה שקשור לשרת, לא ?

בקשר למה ששאלת אותי - אז כן, זה בדיוק מה שהתכוונתי אליו.

בקשר לשאלה השניה שלך, הנה לך קוד שיתן לך את הכתובת שבעזרתה זימנו את הדף:

כל הזכויות שמורות למי שכתב את הסקריפט שנלקח מ: http://www.php.net/manual/en/reserv...ables.php#76347

קוד PHP:

<?php

function get_url($show_port = false)
{
    if($_SERVER['HTTPS'])
    {
        $my_url = 'https://';
    }
    else
    {
        $my_url = 'http://';
    }

    $my_url .= $_SERVER['HTTP_HOST'];

    if($show_port)
    {
        $my_url .= ':' . $_SERVER['SERVER_PORT'];
    }

    $my_url .= $_SERVER['SCRIPT_NAME'];

    if($_SERVER['QUERY_STRING'] != null)
    {    
        $my_url .= '?' . $_SERVER['QUERY_STRING'];
    }

    return $my_url;
}

echo get_url(); // Outputs: http://localhost/
echo get_url(true); // Outputs: http://localhost:80/

?>

חתימתכם הוסרה כיוון שלא עמדה בחוקי האתר. לפרטים נוספים לחצו כאן. תוכלו לקבל עזרה להתאמת החתימה לחוקים בפורום חתימות וצלמיות.

אז אם אני אעבור על כל הקבצים של המערכת ובכל אחד מהם אחק את השורות שהן שאילתות SQL ובהן אגן על כל משתנה בעזרת הקוד ההוא לא יהיו הזרקות ?

לא יכול להבטיח כלום, אבל כעקרון, אני לא מצליח לחשוב על דרך להזריק נגד קוד כזה שפשוט יוצא לך תמיד מספר גרשיים זוגי ככה שלא תוכל להשחיל איזו פקודה בדרך..
מצד שני, אין לי נסיון בפריצות, אז אני לא יכול להבטיח שום דבר.

חתימתכם הוסרה כיוון שלא עמדה בחוקי האתר. לפרטים נוספים לחצו כאן. תוכלו לקבל עזרה להתאמת החתימה לחוקים בפורום חתימות וצלמיות.

1. אפשר להיתחכם. למשל ליכתוב בהתחלה גרש, ואחריזה גרשיים...
2. זה פוטר רק את הבעיה של התו- ' וזה לא פוטר למשל אם משתמשים בדרכים אחרות... למשל יש דרך להזריק אם התוים [] ()...

מצאתי אצלך אפשרות להזרקת SQL בקובץ index.php - לא סיננת את הקלט שמגיע מהמשתנה UserName...

איפה יש משתנה כזה ?

מה לא ברור ב-"בקובץ index.php"?

במערכת IPB רוב הדברים דרך הקובץ index.php...

דור צודק, תנסה למשל לכתוב בשם משתמש את זה:

קוד:

 w' blabla='dfg' 

ותמלא את שאר הפרטים נכון, אתה תקבל הודאת שגיאה, אם אתה מזריק שם שאילתה, אתה באמת יכול לשנות הכל...

כדי לתקן את זה, תחפש בקובץ: sources\Register.php

את השורה הזאת:

קוד:

 $DB->query("SELECT * FROM ibf_members WHERE LOWER(name)='".strtolower($ibforums->input['username'])."'");

בערך סביב שורה: 179 (תלוי בגירסה שלך)

לפני השורה הזאת, אתה צריך לסנן את הכל התווים האילה:

קוד:

 & ~ ` # " , ' () {} [] % : = \ / @ ! 

כי אם כל התווים האילה, אפשר להזריק לך...