Latest posts for the topic "Nhờ kiểm tra trang www.phunu24h.com"

Nhờ kiểm tra trang www.phunu24h.com

conmeomeo — GMT

Website: http://www.phunu24h.com Xác nhận chủ quyền: http://www.phunu24h.com/request.html Chào các bằng hữu gần xa sau một thời gian dài nâng cấp và phát triển cuối cùng đệ cũng đã hoàn tất được một hệ thống Tool website cá nhân (tạm gọi nó là DTool vậy). Trong quá phát triển để đánh giá mức độ bảo mật của hệ thống này đệ đã nhờ HVA kiểm tra thử tại địa chỉ /hvaonline/posts/list/8305.html với hơn 1045 lượt xem nhưng chỉ duy nhất có một mình vị sư huynh conmale ra tay nghĩa hiệp. Đây là ý kiến đóng góp của huynh ấy: --------------- Trang web tránh được hầu hết các exploit thông thường đến các biến được dùng trong query string (như các dạng inline xss, sql injection...). Tuy nhiên, nó bị một lỗi và lỗi này khá thường gặp đó là nó không kiểm soát PHPSESSID. Điều này có nghĩa từ phía client, giá trị PHPSESSID được đưa vào và server hoàn toàn không kiểm tra. Bởi thế, việc chèn bất cứ thứ gì trong PHPSESSID=xyz đều không bị cản trở gì cả. Nên nghiên cứu khả năng "Session Validation" trên php để khắc phục tình trạng này nếu không muốn bị lợi dụng điểm này khai thác sâu hơn. Riêng phần server thì tôi không ý kiến chi tiết vì site này thuộc dạng sharehosting. Server chạy dịch vụ ftp có phiên bản rất cũ và có lỗi nặng. Lỗi này cho phép get root từ xa (exploit code đã disclose rộng rãi từ lâu). Good luck. expect the unexpected --------------- + Có lẽ lần trước đông đảo các vị bằng hữu và sư huynh khác, thấy hệ thống chưa hoàn chỉnh và có ít thông tin nên chưa ra tay nghĩa hiệp ?. Lần này đệ trở lại với website www.phunu24h.com với phiên bản mới và đầy đủ chức năng, thông tin cho tất cả các chuyên mục (còn khoảng 1 tuần nữa sẽ hoạt động chính thức). Website này đệ sử dụng công nghệ Ajax khá nhiều, mà sử dụng thằng này thì lúc code bắt lỗi cũng hơi bị khó nên đệ sợ mình gặp nhiều sai sót, chỉ sợ chạy được một thời gian database đầy lên lúc đó mà lòi ra lỗi là tiêu đệ luôn. Mong các vị huynh muội dành chút thời gian check sơ qua giùm đệ bởi đệ chỉ có 2 thành công lực về vấn đề bảo mật mà thôi ( :cry: )

Nhờ kiểm tra Hệ thống DTool mới nhất trên www.phunu24h.com

pnco — GMT

Mới vào thấy được cái này

Warning: mysql_connect(): Lost connection to MySQL server during query in c:\inetpub\wwwroot\index.php on line 9 Warning: mysql_select_db(): supplied argument is not a valid MySQL-Link resource in c:\inetpub\wwwroot\index.php on line 15 The phunu24h.com.vn is currently under construction, please visit later or contact us for more information. Thank you

Re: Nhờ kiểm tra Hệ thống DTool mới nhất trên www.phunu24h.com

conmeomeo — GMT

Cái này chắc server nó bị vấn đề vì cái domain ban đầu của đệ là www.phunu24h.com còn cái www.phunuvn.com.vn là mua sau này mới trỏ về cùng host hôm nay nên bị cái lỗi kết nối db này. Bây giờ vào thấy tự nó chạy bình thường lại rồi đệ chẳng đụng chạm gì đến nó cả.

Re: Nhờ kiểm tra Hệ thống DTool mới nhất trên www.phunu24h.com

conmale — GMT

conmeomeo wrote:

Cái này chắc server nó bị vấn đề vì cái domain ban đầu của đệ là www.phunu24h.com còn cái www.phunuvn.com.vn là mua sau này mới trỏ về cùng host hôm nay nên bị cái lỗi kết nối db này. Bây giờ vào thấy tự nó chạy bình thường lại rồi đệ chẳng đụng chạm gì đến nó cả.

Đề nghị đọc phần cập nhật quy định kiểm tra: chỉ cần gởi 1 bài là đủ. Tránh gởi nhiều bài trả lời có cùng nội dung.

Re: Nhờ kiểm tra Hệ thống DTool mới nhất trên www.phunu24h.com

conmeomeo — GMT

Tại chỗ của đệ mỗi lần gửi bài nhấn nút Gởi đi là nó bị treo, Refresh lại thì không thấy bài nên mới phải gửi lại lần nữa. Lần sau rút kinh nghiệm vậy.

Re: Nhờ kiểm tra Hệ thống DTool mới nhất trên www.phunu24h.com

vua_php — GMT

Trang web này dùng Ajax nên chạy cũng khá nhanh. Tuy nhiên mới check thấy liền. Vào mục www.phunu24h.com -> Thời trang select * from tbl_thoitrang_detail where id_subject=8 and status_detail=1 order by date_registered desc,id_detail desc limit 0,15 ERROR:Table 'wow24h.tbl_thoitrang_detail' doesn't exist Warning: mysql_fetch_assoc(): supplied argument is not a valid MySQL result resource in D:\home\wow24h_new\thoi_trang\index.php on line 60 Tuy phần lớn không thấy URL nhưng vẫn có thể tìm được: http://www.phunu24h.com/index.php?n=nghenhac => vào thẳng thằng nghe nhạc

Re: Nhờ kiểm tra Hệ thống DTool mới nhất trên www.phunu24h.com

conmeomeo — GMT

- Sư huynh có thể chỉ cho đệ biết làm thế nào đã phát hiện ra cái lỗi đó không, vì khi test thử đệ đã kiểm tra nhiều lần nhưng không thấy cái lỗi đó, đệ còn dùng cả phần mềm Acunetix Web Vulnerability Scanner 3 chuyên dùng cho việc check website nhưng cũng không thấy nó báo lỗi gì cả. - Cái khó nhất là lúc viết code hay test thử đệ chạy bình thường nên không phát hiện ra lỗi, không biết huynh dùng phần mềm hay nhét thêm cái gì vào đường link mà nó lại lòi ra lỗi đó. - Không biết hiện nay còn phần mềm nào chuyên dùng cho việc check website không. Rất mong nhận được sự chỉ giáo của các huynh đệ gần xa.

Re: Nhờ kiểm tra Hệ thống DTool mới nhất trên www.phunu24h.com

vua_php — GMT

:mrgreen: cái này thì anh dùng Tool Pear để test phải config bằng tay ko có file cài đặt nên ko share được. Trên phunu24h.com có phần nghe nhạc, link chủ yếu là từ bên nhạc số, chú có thể cho anh xin mấy cái link đó để download ko, chứ down từng bài mất công quá :P)