: tabii ki de login oldugunda tıklamalı ki bi ise yarasın. sisteme giris yapmadan cookie bilgisini nasıl alacaksın baska türlü? ayrıca güncel cookieleri browserdan silmezsen yine hatalarla karsılasabilirsin, chrome'da mesela o sekilde yapmıssın olmus. sonucta phpsessid=xxx degeri tarayıcı kapanana kadar var olan gecici bi deger, webmasterların artık buna dikkat ettigini sanıyorum ben, yle cok büyük bir acık olarak grme. . htaccess'e 2 satır kod eklenerek session degerini gizleyebilirler. php_value session. use_trans_sid 0php_value session. use_only_cookies 1 mesela.. Hocam peki ben şimdi bu açığa sahip bir foeum buldum. 1 konu açtım ve diğer sayfa linkini verdim. Siteden cıkıp cookierleri sildim ve hash değerni o linkteki değer yapıp, sürekli refrh çektigğimde o linke tıklayan kişi gibi login olmam gerekmezmi? Fakat 1 kere bala oldu bida yapamadım. Şu dediğinede dikkat ettim " browser kapanana kadar geçici değer" fakat olmuyor olmuyor. Evde 2 pc var biriyle login olup o linke tıklattım diğer pcde cookie silip hash değerine ki sitede o değer oluor cookie o rakama girdim olmuyor yapamadım. Sonucta 1 kez o linke tıklanması ve sitede surfe devam edilmesi bişey değiştirmemesi lazım. Acaba neden olmuyor :S Hata nerde 1-2 kez bala yaptım oldu Her ağ kırılabilir!

bilgisi olan yokmu acaba :S Her ağ kırılabilir!

tabii ki de login oldugunda tıklamalı ki bi ise yarasın. sisteme giris yapmadan cookie bilgisini nasıl alacaksın baska türlü?ayrıca güncel cookieleri browserdan silmezsen yine hatalarla karsılasabilirsin, chrome'da mesela o sekilde yapmıssın olmus. sonucta phpsessid=xxx degeri tarayıcı kapanana kadar var olan gecici bi deger, webmasterların artık buna dikkat ettigini sanıyorum ben, yle cok büyük bir acık olarak grme. . htaccess'e 2 satır kod eklenerek session degerini gizleyebilirler. php_value session. use_trans_sid 0php_value session. use_only_cookies 1mesela.. %40 indirimli olarak "Centos Sistem ve Sunucu Ynetimi" adlı kitabımızı satın alarak, Linux üzerine yapılacak olan devam projeleri icin destekte bulunabilirsiniz : http://www.hepsiburada.com/centos-sistem-ve-sunucu-yonetimi-oku-izle-dinle-ogren-p-KKODLAB01579

Slm arkadaşlar. Bu hack işi bana yapboz gibi geldi. Pek fazla bilgim yok fakat ingilizcem olduğundan dolayı, yabancı makaleleri okuyarak birşeyler yapıyorum kendi çapımda. Şimdi soruma geçeyim Jsky isimli bir program kullanıyorum. Free versiyon. Bu program bana sitedeki açıklrı gsteriyor. Ben bikaç sitede Phpsessid hakkında yazı okudum. Bu açıktan faydalanmak şu şekilde imiş... -Açık olan siteyi bulduk. -rneğin www.xxx.com/index. php bir sitemiz var site içinde bir konu açıpta yapabiliriz yada başka bir yerde bu foruma link verirken şu şekilde kod hazırlıyoruz. www.xxx.com/index. php?PHPSESSID=1234. Anladığım kadarıyla bu açık olan bir sitede herhangi bir şekilde?PHPSESSID=1234 uzantılı bir linke tıklandığında, bu cookie grevi grüyormuş. Bende başka bir browserdan aynı linke www.xxx.com/index. php?PHPSESSID=1234 tıkladığımda adamın hesabına ulaşabiliyormuşum. 1 deneme yaptım crome ve firefox actım firefoxta şifremle login olup bu tarz linke tıklattım. Cromeden ise cookie editorle phpsessid sekmesine 1234 girdim diğer browserdan login olamadim. Birkaç kez denedim 1 seferinde gerçekten oldu. Firefoxta loginken linke tıkladım. Crome den siteyti acıp cookileri silip siteye girdim ve cookie editorden 1234 girdim 1 kez başardım ve olmuştu. Sorularım şunlar: 1) Hatayı nerde yapıyorum neden her seferinde olmuyor? 2) Acaba login olmadan linke tıklanıpmı login olmalı o kişi? yoksa login ikenmi o linke tıklamalı? Gerçi her şekilde denedim olmadı. Dedim gibi her şekilde denedim 1-2 kez bala oldu. Bence bu nemli bir açık keza, keza forumda bir konu acıp ite içi link verip sürekli sayafa yenilediğimizde sürekli başka hesaptan giiş yapabiliriz. Şurda güzel bir yazı var http://www.webdigi.co. uk/blog/2009/php-session-fixation-attacks/ Kısaca birine link oluştur gnder tıklasın. Site seni gerçek kişi tanır ve phpsessid değerini PHPSESSID=1234'ye dnüştürür. Ve siteye loglanmış olursun girersin. hackerda login ekranından sonraki hesap gsterme sayfasını yani http://www.xxx.com/showmeaccount. php?PHPSESSID=1234 giriş yapabilmek için dener diyor.1 kişi linke tıkladıysa onlarda koly giriş yapabilirler demiş... Acaba 1234 cookiesini login veya na ekranda değilde hangi scripti kullanıyorsak sıradaki gelen phpde giripmi siteye refresh çekmek gerekiyor... Ewt arkdaşlar yardımlrınızı bekliyorum. Bence bu byül bir açık Her ağ kırılabilir!