Oke dan 1 euro

Let op; XSS-injectie is mogelijk.

Klopt het dat het gastenboek een heel groot stuk html weergeeft in een zwart vak onderaan de pagina?

Origineel gepost door Steven Verkuil

Klopt het dat het gastenboek een heel groot stuk html weergeeft in een zwart vak onderaan de pagina?

Ik denk dat het een grapjas heefd gedaan.
Die het script een beetje wou verpesten

Bovenstaande komt door de mogelijkheid tot XSS-Injecties. Als de gebruiker die nu "<plaintext>" heeft geschreven een stukje javascript had geplaatst, had er een stuk meer kunnen gebeuren =)

Hij is beter beveiligd!
Kijk zelf maar.

Origineel gepost door maarten zonneveld

Hij is beter beveiligd!
Kijk zelf maar.

Niet veilig.

1. ik kan een rating van 100 geven (zie maar)
2. ik verstuur zo XXX post in 1 minuut (kan het bewijzen)

@ Steven Verkuil,

Klopt, niet veilig.
Het is mij ook gelukt om bijvoorbeeld een rating van 1000 te geven.
Mag ik vragen hoe u het heeft gedaan?

Met vriendelijke groet,
Guyon

Origineel gepost door Steven Verkuil

Niet veilig.

1. ik kan een rating van 100 geven (zie maar)
2. ik verstuur zo XXX post in 1 minuut (kan het bewijzen)

mag ik vragen hoe je dit hebt gedaan?

Bedankt dat jullie me helpen met het verbeteren van dit gastenboek

@Maarten. Het is belangrijk om de volgende php regels in acht te nemen bij al je scipts:
1. never trust user input
2. never trust user input
3. never trust user input.

Om je scripts veilig te maken moet je minimaal aan de volgende dingen denken:
1. altijd mysql real escape string gebruiken als je een _GET of een _POST variabele wilt opslaan in je DB
2. nooit zomaar ervan uitgaan dat gebruikers zich aan de 'gewenste' input houden. men kan namelijk ook gewoon code invullen in een 'naam' vakje.
3. Altijd een controle uitvoeren of wel het gewenste resultaat is ingevuld in het gewenste vakje. Als jij een dropdown lijstje maakt met als optie 'ja' of 'nee' (of score 0-10) dan kan een kwaadwillend gebruiker zijn httprequest aanpassen en bijvoorbeeld een heel stuk JS meesturen!!!

Wat jouw script betreft:
1. gebruik geen cookies voor de 10min timer. neem gewoon een ip logger en een database
2. doe een controle op al je velden en controleer o.a. of de input van de 'score' wel een getal is, en of het binnen de min en max ligt.

Voor technische gegevens van deze 'hack' kun je per PM contact opnemen. Ik wil dit bewust niet hier plaatsen (en vraag andere mensen dat ook niet te doen), omdat je met een dergelijke 'tool' redelijk wat schade kan aanrichten bij vele slecht gemaakte site's.

@ TS: Neem de tips van Steven Verkuil in overweging alvorens een script te verkopen.
- Bespaart je een hoop problemen achteraf!

Tevens is het ook de bedoeling dat je je scripts hierop uitgebreid test alvorens ze te verkopen.