S'enregistrer | Rechercher | FAQ | Liste des Membres | Groupes d'utilisateurs | Connexion

  Nom d'utilisateur:    Mot de passe:       

  

Poster un nouveau sujet   Répondre au sujet Page 1 sur 1
Voir le sujet précédent :: Voir le sujet suivant  
Auteur Message
MessagePosté le: Mer Sep 28, 2011 5:49 pm    Sujet du message: Test de site Répondre en citant

STRYK
Projets


 
Inscrit le: 13 Aoû 2011
Messages: 7



Changement de site trop de failles merci a vous ...


Dernière édition par STRYK le Dim Oct 02, 2011 7:38 pm; édité 1 fois
Voir le profil de l'utilisateur Envoyer un message privés
MessagePosté le: Mer Sep 28, 2011 6:24 pm    Sujet du message: Répondre en citant

BESTPIG
Projets


 
Inscrit le: 08 Nov 2010
Messages: 3



http://kioya-online.com/index.php?p=comments&news=-9

J'ai réussi à mettre un commentaire sur une news avec un id négatif, tu devrais vérifier si la news existe.

J'ai aussi pu poster en tant que l'utilisateur "<<", tu à mis le nom d'utilisateur dans un input hidden, pourquoi ne pas le récupéré des sessions ?

---

Tu a une xss sur le titre et le message dans la section messagerie (mp).
N'importe qui à accès au message de n'importe qui juste en changeant l'id dans l'url.
http://kioya-online.com/index.php?p=inbox&a=4&id=85 (pour la xss)
http://kioya-online.com/index.php?p=inbox&a=4&id=12 (ici on vois un message qu'on devrait pas voir)

---

J'ai réussi à mettre le compte vip sans aucun point en mettant la variable cout à 0.
Enfin il me dit "Vous êtes maintenant VIP!", mais vu que je ne suis pas connecté au jeu je ne sais pas ce qui se passe derrière.

Voila mon petit audit d'avant manger, j'ai pas tout regardé encore, je referais un tour tout à l'heure.
Voir le profil de l'utilisateur Envoyer un message privés
MessagePosté le: Mer Sep 28, 2011 6:57 pm    Sujet du message: Répondre en citant

STRYK
Projets


 
Inscrit le: 13 Aoû 2011
Messages: 7



Oula ... oui il est belle et bien vip meme sur le jeux !

97413 Points comment as tu fait aussi ? et pour mettre la variable cout a 0 aussi ?
( Altération de données ? )

Comment résoudre c'est deux gros problèmes
Voir le profil de l'utilisateur Envoyer un message privés
MessagePosté le: Mer Sep 28, 2011 7:34 pm    Sujet du message: Répondre en citant

BESTPIG
Projets


 
Inscrit le: 08 Nov 2010
Messages: 3



Oui en mettant un nombre négatif ça nous crédite des points Wink.

Pour pallier à ce problème, il faut ne que le prix etc ne puisse soit pas défini côté client.
Dans ta page qui valide le compte vip, tu peut pas en interne connaître le prix que l'option coute plutôt que de l'envoyer en POST ?

Pour altéré les données il y a plein de méthode différente, sous firefox tu peut utilisé les modules firebug, livehttpheader, temperdata etc...

Le truc c'est qu'il ne faut JAMAIS faire confiance à des données venant d'un utilisateur, même si c'est toi qui à coder la page qu'il reçois dans le navigateur, vu que tu n'a aucun contrôle dessus, elle peut être modifié sans aucun soucis.
Voir le profil de l'utilisateur Envoyer un message privés
MessagePosté le: Mer Sep 28, 2011 8:30 pm    Sujet du message: Répondre en citant

STRYK
Projets


 
Inscrit le: 13 Aoû 2011
Messages: 7



Merci ! je vais essayer de résoudre tout sa ...


Dernière édition par STRYK le Mer Sep 28, 2011 8:43 pm; édité 1 fois
Voir le profil de l'utilisateur Envoyer un message privés
MessagePosté le: Mer Sep 28, 2011 8:38 pm    Sujet du message: Répondre en citant

BESTPIG
Projets


 
Inscrit le: 08 Nov 2010
Messages: 3



Suffit que tu mette le cout à un nombre négatif et ça crédite.
Voir le profil de l'utilisateur Envoyer un message privés
MessagePosté le: Mer Sep 28, 2011 8:44 pm    Sujet du message: Répondre en citant

STRYK
Projets


 
Inscrit le: 13 Aoû 2011
Messages: 7



BESTPIG a écrit:
Suffit que tu mette le cout à un nombre négatif et ça crédite.


Oui j'ai compris entre temps ! encore Merci !
Voir le profil de l'utilisateur Envoyer un message privés
MessagePosté le: Jeu Sep 29, 2011 6:04 am    Sujet du message: Répondre en citant

TorTukiTu
Site Admin


 
Inscrit le: 07 Fév 2008
Messages: 1960
Localisation: Devant son pc durant la redaction de ce message



Autres petites choses :

Tu as autorisé le directory listing.
Code:
http://kioya-online.com/style/images/illus/


Qui contient entre autre un Thumbs.db => Windows NT.

J'ai pas pu vérifier, mais assure toi bien que l'ID que tu envoies en POST (et d'une façon générale les autres variables également) pour débloquer un perso n'est pas injectable.

Le très classique ID=141 OR 1=1

Tortue 974.
Voir le profil de l'utilisateur Envoyer un message privés Visiter le site web de l'utilisateur Compte AIM MSN Messenger Numéro ICQ
MessagePosté le: Jeu Sep 29, 2011 6:12 pm    Sujet du message: Répondre en citant

STRYK
Projets


 
Inscrit le: 13 Aoû 2011
Messages: 7



Thumbs.db est du a un copié/collé ce n'est pas si grave ?
Voir le profil de l'utilisateur Envoyer un message privés
MessagePosté le: Ven Sep 30, 2011 10:29 am    Sujet du message: Répondre en citant

TorTukiTu
Site Admin


 
Inscrit le: 07 Fév 2008
Messages: 1960
Localisation: Devant son pc durant la redaction de ce message



Citation:
Thumbs.db est du a un copié/collé ce n'est pas si grave ?


Non, c'est juste que quitte Ă  faire les choses, autant que ce soit propre.

Tortue 974.
Voir le profil de l'utilisateur Envoyer un message privés Visiter le site web de l'utilisateur Compte AIM MSN Messenger Numéro ICQ
Poster un nouveau sujet   Répondre au sujet Page 1 sur 1

  


 
Sauter vers:  
Vous ne pouvez pas poster de nouveaux sujets dans ce forum
Vous ne pouvez pas répondre aux sujets dans ce forum
Vous ne pouvez pas éditer vos messages dans ce forum
Vous ne pouvez pas supprimer vos messages dans ce forum
Vous ne pouvez pas voter dans les sondages de ce forum



113976 Attacks blocked