PHP, απορίες.

[Αποστόλης]

Είναι γνωστό οτι οι περισσότερες "hackεριές" και "σπασίματα" γίνονται είτε εκ των έσω είτε από αμέλια των χρηστών (φεύγω και τα παρατάω όλα ανοιχτά ή κολλάω τον κωδικό μου στην πόρτα στο κυλικείο κ.λ.π. κ.λ.π.)
Ομως και η "γνήσια" hackeριά σε τέτοιες εφαρμογές έχει γίνει επανελλημένως.

Οι εφαρμογές αυτές είναι γραμμένες σε στύλ "να πιάσουμε όσο το δυνατόν περισσότερες μορφές χρήσης", οπότε είναι ξέφραγο αμπέλι.
Πρώτη δουλειά του admin είναι να "θωρακίσει" της POST και GET μεταβλητές, όπου χρειάζεται.
Πολλή δουλειά όμως και οι περισσότεροι δεν ασχολούνται καν.

[Star_Light]

Είναι γνωστό οτι οι περισσότερες "hackεριές" και "σπασίματα" γίνονται είτε εκ των έσω είτε από αμέλια των χρηστών (φεύγω και τα παρατάω όλα ανοιχτά ή κολλάω τον κωδικό μου στην πόρτα στο κυλικείο κ.λ.π. κ.λ.π.)
Ομως και η "γνήσια" hackeριά σε τέτοιες εφαρμογές έχει γίνει επανελλημένως.

Οι εφαρμογές αυτές είναι γραμμένες σε στύλ "να πιάσουμε όσο το δυνατόν περισσότερες μορφές χρήσης", οπότε είναι ξέφραγο αμπέλι.
Πρώτη δουλειά του admin είναι να "θωρακίσει" της POST και GET μεταβλητές, όπου χρειάζεται.
Πολλή δουλειά όμως και οι περισσότεροι δεν ασχολούνται καν.

αχα ναι πολυ σωστα! Απλα εγω ελεγα μηπως θυμασαι αυτη τη λεπτομερεια με τα δικαιωματα ξερεις.... οταν πας να τρεξεις ενα δικο σου exploit σε καποιον σερβερ... αν σε αφηνει ή θελει root δικαιωματα.

[Αποστόλης]

Από άποψης δικαιωμάτων δεν θέλει κάτι τραγικό. Ενα απλό 644 φτάνει.
Το θέμα είναι πως θα το ανεβάσεις στον Apache.
Η θα είναι οι φάκελοι ξέφραγο αμπέλι ή από συγκεκριμένους φακέλους για upload (π.χ. εικόνες).
Γι αυτό εκεί φροντίζεις να δίνεις πρόσβαση σε συγκεκριμένα αρχεία (π.χ. jpg).

Αλλιώς μόνο από ftp.
Οπότε αν μπείς από εκεί δεν υπάρχει κάτι που να μπορεί να σε σταματήσει.

[Star_Light]

Από άποψης δικαιωμάτων δεν θέλει κάτι τραγικό. Ενα απλό 644 φτάνει.
Το θέμα είναι πως θα το ανεβάσεις στον Apache.
Η θα είναι οι φάκελοι ξέφραγο αμπέλι ή από συγκεκριμένους φακέλους για upload (π.χ. εικόνες).
Γι αυτό εκεί φροντίζεις να δίνεις πρόσβαση σε συγκεκριμένα αρχεία (π.χ. jpg).

Αλλιώς μόνο από ftp.
Οπότε αν μπείς από εκεί δεν υπάρχει κάτι που να μπορεί να σε σταματήσει.

Ναι μαλιστα. Κοιτα. Εγω λεω ο αλλος να τρεξει ενα σκριπτακι που θα κανει την ζημια
με το exploit μεσα απο το τερματικο του! Θα δωσει βεβαια και το URL του φορουμ που θελει
να "κτυπησει" . Φαντασου απο το Ubuntu terminal σου να τρεξεις το προγραμμα του ff με ορισμα
ενα script Perl διπλα??? καπως ετσι.... το κανουν δεν θυμαμαι ακριβως. Aλλα φανταζομαι σε φορουμς οπως αυτο
της PhpBB ακομη και αν εχεις παρει το χοστιν σε ποιους φακελους ας πουμε εχεις προσβαση??? να τους διαμορφωσεις...
εχεις προσβαση στα κεντρικα αρχεια του SErver σου? Πχ στο index.php.... ή σε αυτο που ο χρηστης βαζει τους κωδικους του
ή δεν σε αφηνουν???

[Αποστόλης]

Εγω λεω ο αλλος να τρεξει ενα σκριπτακι που θα κανει την ζημια
με το exploit μεσα απο το τερματικο του! Θα δωσει βεβαια και το URL του φορουμ που θελει
να "κτυπησει" . Φαντασου απο το Ubuntu terminal σου να τρεξεις το προγραμμα του ff με ορισμα
ενα script Perl διπλα??? καπως ετσι.... το κανουν δεν θυμαμαι ακριβως.

Οπως είπαμε πας για sql injection. Το script που τρέχεις δεν έχει ανέβει στον server.

Aλλα φανταζομαι σε φορουμς οπως αυτο
της PhpBB ακομη και αν εχεις παρει το χοστιν σε ποιους φακελους ας πουμε εχεις προσβαση??? να τους διαμορφωσεις...
εχεις προσβαση στα κεντρικα αρχεια του SErver σου? Πχ στο index.php.... ή σε αυτο που ο χρηστης βαζει τους κωδικους του
ή δεν σε αφηνουν???

Εσύ αν μπείς σαν απλός χρήστης στο forum που είμαστε τώρα έχεις πρόσβαση σε κάποιο φάκελο/αρχείο;

[the_eye]

Το login σε ένα forum ή site δεν είναι login στον server. Δεν υπάρχει ο χρήστης σου στον server για να κάνεις login. Απλά υπάρχει ένας πίνακας μέσα στην βάση δεδομένων του forum όπου επαληθεύεται το login σου και ενεργοποιείτε ένα session στην php για να δεις το forum.
Δεν έχεις καμία συναλλαγή με τον server παρά μόνο με τον apache και τον browser σου.

Το exploit που περιγράφεις το τρέχεις όντως στο pc σου και είναι κώδικας που εκμεταλλεύεται κάποιο bug για να πάρει πρόσβαση σε μέρη που κανονικά δεν θα δινότανε.
πχ με κάποιο bug στην phpbb μπορεί να κάνει κάποιος login στην καρτέλα διαχείρισης. Βέβαια όλες οι συνδέσεις καταγράφονται και κάτι τέτοιο είναι ποινικό αδίκημα.

[Star_Light]

Καταλαβα παιδια. Ναι φυσικα η IP καταγραφεται αυτο δεν το συζηταμε. Καταγραφεται στα log files του servers μπορει ανετα να σε βουτηξει ο αλλος...
Μεταξυ αυτα ειναι χαζομαρουλες... δεν ασχολουμαι με την πληροφορικη για να κατσω να ασχοληθω με αυτα τα πραγματα... απλα ρωταω επειδη σε εναν φιλο του εκαναν αυτο. Και νομιζε μηπως ο admin εδωσε τους κωδικους του στον αλλον. Για αυτο με ρωτησε αν θελει να χεις δικαιωματα root ή και σαν απλος χρηστης αν μπορεις να το τρεξεις.

Απλα απο οσο καταλαβαινω δεν έχει σχεση τελικα με το αν κανεις συνδεση στον σερβερ κανονικη οπως μου ειπατε και εσεις ή εχεις δικαιωματα στους καταλογους του... προφανως και δεν εχω δικαιωματα σαν απλος χρηστης αλλα αυτο δεν με εμποδιζει πχ αν θελησω να κανω κατι να το κανω και να κλεψω καποιον κωδικο (οχι εγω... καποιος αλλος) τρεχοντας το exploit απο το πι σι μου.

[M.Jackson]

Οι browsers δινουν την δυνατοτητα να δουνε το source code της ιστοσελιδας μας, αυτο δεν ειναι κακο; μπορουμε να το αποφυγουμε;

[Star_Light]

Οι browsers δινουν την δυνατοτητα να δουνε το source code της ιστοσελιδας μας, αυτο δεν ειναι κακο; μπορουμε να το αποφυγουμε;

Γιατι να ειναι κακο? Απο την στιγμη που καποιος δεν εχει δικαιωματα πανω σε αυτο το σκριπτ.
Kαι γενικα εχει περιορισμενα δικαιωματα....
Κοιτα το οτι η πλατφορμα σου (αν παιζεις με ετοιμη) θα έχει κενα και αδυναμίες αυτο παρτο ως δεδομενο εξαρχης
για αυτο καλο θα ειναι να ψαχνεις και να ενημερωνεσαι ωστε να κανεις τις καταλληλες αναβαθμισεις

[Qdata]

Οι browsers δινουν την δυνατοτητα να δουνε το source code της ιστοσελιδας μας, αυτο δεν ειναι κακο; μπορουμε να το αποφυγουμε;

Κανονικά δεν γίνετε.Αλλά υπάρχουν μερικοί τρόποι:
1)Να γράφεις σε Flash.
2)Κατασκεύασε το site σε Javascipt με ένα .js αρχείο το οποίο θα καλείς από το HTML.
3)Να κάνεις όλο τον κώδικα μια γραμμή!

Εξάλλου ο browser πρέπει να βλέπει τον κώδικα ώστε να μπορεί να προβάλει το site.Αυτό που μπορείς να κάνεις είναι να χωρίσεις το site σε πολλά αρχεία.

• Επίσης νομίζω πως μπορείς να δώσει κάποια δικαιώματα σε αρχεία ώστε να μην μπορούν να προβληθούν από τους επισκέπτες αλλά να μην επηρεάζουν τον υπόλοιπο κώδικα.

EDIT:

Τώρα θυμήθηκα κάτι άλλο που είχα κάνει!Δεν ξέρω αν ο κώδικά σου είναι σε HTML αλλά υπάρχει τρόπος για να μην μπορεί κάποιος να κάνει δεξί κλικ στο site σου!Απλά θα προσθέσεις στο head σου:

Κώδικας: Επιλογή όλων

<script type="text/javascript">
    <!--
    //Disable right click script
    
    var message="Sorry, right-click has been disabled";
    ///////////////////////////////////
    function clickIE() {if (document.all) {(message);return false;}}
    function clickNS(e) {if
    (document.layers||(document.getElementById&&!document.all)) {
    if (e.which==2||e.which==3) {(message);return false;}}}
    if (document.layers)
    {document.captureEvents(Event.MOUSEDOWN);document.onmousedown=clickNS;}
    else{document.onmouseup=clickNS;document.oncontextmenu=clickIE;}
    document.oncontextmenu=new Function("return false")
    // -->
</script>

Έτσι είσαι οκ;

Off topic:
Αν και δεν είναι καλό να κλειδώνεις τα HTML sites μιας και είναι open-source!