Origineel gepost door Wim Wisselink

Nou, het kan nog steeds erg gevaarlijk zijn. Stel dat je het script lokaal hebt draaien op laten we zeggen:

http://127.0.0.1/uren/script.php

Een aanvaller kan dan bijvoorbeeld een tinyurl naar de gebruiker van het script sturen die verwijst naar:
"http://127.0.0.1/uren/script.php?delnote=-1 or 1=1"

Dan zijn alle uren verwijderd en ik heb zo'n idee dat er geen delete flag op de uren wordt bijgehouden. Maar dan het is niet wenselijk.

Deze aanval wordt ook wel CSRF (cross side request forgery) genoemd :)

Dus scripts zelfs voor eigen gebruik is het toch aan te raden om deze beveiligen.

Misschien een beetje vergezocht maar oke, misschien wel beter.

Origineel gepost door Allardname

Misschien een beetje vergezocht maar oke, misschien wel beter.

ach ik ben een beetje paranoide op dit gebied ;)

Wim heeft wel gelijk vind ik, urenregistratie is zeer belangrijk, dus moet het ook goed beveiligt zijn :)

Het probleem dat Wim naar voren bracht is inmiddels verholpen.

@paul voor dat ik op je commentaar in ga wil even weten of het deze link betreft: http://pauldulong.nl/clients/myhours/ ? Hier ben ik via de demo link opgekomen die in DEZE advertentie staat.

FALSE: http://pauldulong.nl/clients/myhours...LECT%202%29%29

TRUE: http://pauldulong.nl/clients/myhours...LECT%202%29%29

Sorry, maar ik weet echt wel waar ik het over heb, zeker met betrekking tot beveiligingsaspecten. En ik post zeker geen dingen als ze niet waar zijn.

Wijziging: Het is opgelost dus de links hierboven werken niet meer. ;)

Ja het betreft die demo ja.
Bij beide links die jij geeft stopt het script jouw injectie, dus wat is het probleem :)?

Als ik op start klik, hoe stop ik de tijd? Als ik op pauze klik, krijg ik deze text te zien: Your start time could not be retrieved ( http://pauldulong.nl/clients/myhours...on=pauze&id=58 )

Dat komt omdat bij de demo er geen connectie is met de database. Als je een project start wordt dit niet opgeslagen in de database ;). Vandaar de error.