hocam eline sağlık. kodların içinde loglar. php ve uyari. php var. o dosyalar nedir?

Walla bugünün bilişimle ilgili en ii konusu bu. Ellerine sağlık hocam. Başarılı bir çalışma. opusdei | Ego sum qui sum | Travelmate, Gourmet, Funny, Unlimited, Enjoy life, uploading...

bu tarz kodlar ile sadece amatrleri engellersin Bittik biz bittik

Kodun ne işe yaradığının farkındayım ancak sormak istediğim şu. Her sayfada bunu include etmek yerine atıyorum veritabanından sorgu yapicaz x. php?id=1 Burdaki atağı temizlemek, olası saldırılara karşı koymak için sence bu kadar koda gerek varmı? Yoksa $id = $_GET ; veya! is_numeric kontrolü yeterli olacakmıdır. Verdigim rnekleri bypass etme imkanı var mı bilgisi olan syleyebilir mi

bunu her sayfa include etmiyceksin zaten config. php include etmen yeterli insanları Silahsızlandırmak onları kleleştirmek için En iyi Yoldur.

güzel yaplaşım... Günün biliişimle ilgili açılan güzel konulardan biri hep byle olsa keşke... Ban Sebebi : Molrada Haarket Eiğtti için Bdnlaanı... Türkçe ğretmenliği okuyan arkadaşım sana ders verebilir admin arkadaş :)

güzel araç Emekçiler ekmeklerini, emeklerinin karşılığı olarak ve nlenemez tarihi sürecin sonucu olarak mutlaka kazanacaklardır. Şüphesiz bu, zorlu bir dnemdir kısa vadeli ve greceli yenilgilerden geçer.

el altında kalsın

güzel paylaşım hoca, nedense ''Sql Injection'' grünce aklıma ''HolyZone'' geliyo :) , selim varmı bir açıklaması

: Paylaşım için sağolasın. Bende biraz beyin fırtınası yapalım derim. Gerek varmı bu kadar koda? Bence yok integer değerleri $_GET olarak alsak, yada numeric haricini! is_numeric vs gibi yapsak hemen hemen aynı işlevi grmüş olmazmı? bukadar koda gerek varmı bu kodda incelersen hem local file include engellenmiş hem remote file include engellenmiş hem sql injection engellenmiştir. kodu incelersen php cmd komutlarıda engellenmiştir get gelicek xss içinde nlem anlınmıştır sıradan bir script kidde nin bunu aşması çok zordur istersen açıklı bir yazılıma uygula grüceksindir sonucu. insanları Silahsızlandırmak onları kleleştirmek için En iyi Yoldur.

buradaki kodlar tarafımca test ediliyor süzgeci istersen ufaltarak dene istersen diğer türlü dene her seferinde dışarı basar insanları Silahsızlandırmak onları kleleştirmek için En iyi Yoldur.

Paylaşım için sağolasın. Bende biraz beyin fırtınası yapalım derim. Gerek varmı bu kadar koda? Bence yok integer değerleri $_GET olarak alsak, yada numeric haricini! is_numeric vs gibi yapsak hemen hemen aynı işlevi grmüş olmazmı?

o kadar güzel oldu ki bu... eyvallah since 2005 // tbt

güzel kod tşk ederim -

peki config. php her sayfaya include edilmiş değil mi :) Beni yanlış anlama, sql inj. olsun xss olsun bunlar üzerine pek bilgim yok, sadece benim verdigim rnekleri bypass edip saldırı yapılabiliniyor mu, yapılamıyorsa bu kodlara cidden bu kadar ihtiyac var mı? kodda gelen her isteğin kontrolü yapılıyor, performans düşüklüğü yaşanmaz mı vs vs vs bunları ğrenmek istedim sadece

User agenti süzecek bir kod yazılabilir Yada hiç user agent bilgisi tutturulmayabilir :) ip adresi hukuki işlemlerde yeterli oluyor ne olsa bunu kemale ermiş arkadaşlar dahada geliştirebilirler. Ama ne olursa olsun sistem yinede hacklenir :D Fazlada paranoyak olmamak lazım. Tbt Dersimliler Derneği Başkanı :)

<? / Sokarım /$url_denied = array( '/bin', '/../', '../../', '/usr', '/etc', '/boot', '/dev', '/perl', '/initrd', '/lost+found', '/mnt', '/proc', '/root', '/sbin', '/cgi-bin', '/tmp', '/var', 'ps%20', 'wget%20', 'uname%20-a', '/chgrp', 'chgrp%20', '/chown', 'chown%20', '/chmod', 'chmod%20', 'md%20', 'mdir', 'rm%20', 'rmdir%20', 'mv%20', 'tftp%20', 'ftp%20', 'telnet%20', 'ls%20', 'gcc%20-o', 'cc%20', 'cpp%20', 'g++%20', 'python%20', 'tclsh8%20', 'nasm%20', 'perl%20', 'traceroute%20', 'nc%20', 'nmap%20', '%20-display%20', 'lsof%20', '. conf', '. htgroup', '. htpasswd', '. htaccess', '. history', '. bash_history', '/rksh', '/bash', '/zsh', '/csh', '/tcsh', '/rsh', '/ksh', '/icat', 'document. domain(', '/...', '.../', 'cat%20', '/ %0a. pl', '/server-status', 'chunked', '/mod_gzip_status', 'cmdd=', 'http://', 'exec', 'passthru', 'cmd', 'fopen', 'exit', 'fwrite', '<script', '/script>', '<?', '?>', 'javascript://', 'img src=', 'phpbb_root_path=', 'sql=', 'delete%20', '%20delete', 'drop%20', '%20drop', 'insert into', 'select%20', '%20select', 'union%20', '%20union', 'union(', 'chr%20', 'chr ; $_server = isset && ! empty ? '_SERVER' : 'HTTP_SERVER_VARS'; $_env = isset && ! empty ? '_ENV' : 'HTTP_ENV_VARS'; if ( ($url_request = ! empty ? $ : (! empty ? $ : getenv ) { $url_request = preg_replace('/ /', '%20', strtolower ; $url_checked = preg_replace('/ /', '', str_replace ; if } unset ; unset ; ?> Yukarıdaki kodu mysql bağlantı dosyanıza include ederseniz %98 ihtmal ile yazılımı Sağlama alırsınız. insanları Silahsızlandırmak onları kleleştirmek için En iyi Yoldur.

: Şimdi bu browser agentimizi falan loglar. php ye kaydediyor ya. Eğer biz browser agent bilgimizi manipule edip gibi birşey yazdığımızı düşünelim. Sonra bu site logları kayıt altına aldığı için browser agentide alacaktır. Saldırgan ise site.com/loglar. php?musty=c0de yaparsa ne olacak? çizmiş

Kanka dokturmussun yine helal :) . - @Kaptan ın daha delikanlı olduğunu kanıtlayan şahsiyet ile tanıştım..

ayrıca yüksek hitli sitelerde falan bu kodlar aşırı yorar sistemi Bittik biz bittik

çok iyi ama eksik, gelen verilerin hepsini ufaltarak süzgeçe alın, çünkü sql injectionlada UNION la union aynı olsada süzgeçte ufakları alınmış durumda, işi garantiye alıp tüm gelen verileri ufaltın php de sonra süzgeçe sokun, diğer bir 2. gibi bir ifadenin html yorumlamasında farklı şekilleri var r : "%3cscript","\x3cscript","%3e%3c/script%3e", gibi bunlarda aynı şeyi yapabiliyor bunlar süzgeç içinde yok daha geliştirilmesi lazım yüzde 90 değil anca bu yüzde 70 i felan korumaya yarar ama güzel. Başarılı ellerine sağlık. ayrıca bu makalenin tamamı; http://www.turk-php.com/smf/php-yardm-forumu/sizce-gvenlimi/?wap2 da var, yinede bizimle paylaştığın için teşekkürler net yavaş malesef... 2 defa postlamış mod silerse iyi olur. Php for SEO nun ardından Php for Gcode

: hocam eline sağlık. kodların içinde loglar. php ve uyari. php var. o dosyalar nedir? yukarıdaki arraydakilerden biri denendiginde tarih, ip, browser agentı vs.. gibi bilgileri loglar. php ye kaydediyor daha sonra bakılması için. deneyen kişiyede uyari. php gsteriliyor.

Şimdi bu browser agentimizi falan loglar. php ye kaydediyor ya. Eğer biz browser agent bilgimizi manipule edip <?php passthru ; ?> gibi birşey yazdığımızı düşünelim. Sonra bu site logları kayıt altına aldığı için browser agentide alacaktır. Saldırgan ise site.com/loglar. php?musty=c0de yaparsa ne olacak? Tbt Dersimliler Derneği Başkanı :)

: buradaki kodlar tarafımca test ediliyor süzgeci istersen ufaltarak dene istersen diğer türlü dene her seferinde dışarı basar Hacı sen dediysen tamamdır o iş :)) Sen tahri'ye bile 150+ sorgu çeken vatandaş değilmisin? "Mey biter saki kalır Her renk solar haki kalır Diploma insanın cehlini alsada; Hamurunda varsa, eşeklik baki kalır..."

: Şimdi bu browser agentimizi falan loglar. php ye kaydediyor ya. Eğer biz browser agent bilgimizi manipule edip gibi birşey yazdığımızı düşünelim. Sonra bu site logları kayıt altına aldığı için browser agentide alacaktır. Saldırgan ise site.com/loglar. php?musty=c0de yaparsa ne olacak? loglar db de tutulduğu için çoğu yerde, db den gelen php kod yorumlanmaz. anca meta falan atarsın yada xss de kullanırsın. zamanında bu olaydan çok site gümbürtüye gitti artık akıllandılar ama Bittik biz bittik

nerileriniz nedir peki?

çok iyi ama eksik, gelen verilerin hepsini ufaltarak süzgeçe alın, çünkü sql injectionlada UNION la union aynı olsada süzgeçte ufakları alınmış durumda, işi garantiye alıp tüm gelen verileri ufaltın php de sonra süzgeçe sokun, diğer bir 2. <scrtipt> gibi bir ifadenin html yorumlamasında farklı şekilleri var r : "%3cscript","\x3cscript","%3e%3c/script%3e", gibi bunlarda aynı şeyi yapabiliyor bunlar süzgeç içinde yok daha geliştirilmesi lazım yüzde 90 değil anca bu yüzde 70 i felan korumaya yarar ama güzel. Başarılı ellerine sağlık. Php for SEO nun ardından Php for Gcode

He tabi yle php kodları yorumlanmayabilir ama ben rnek olsun diye syledim yoksa xss, meta akla hayale sığmayacak şeyler yapılabilir. Tbt Dersimliler Derneği Başkanı :)