Güzel tam anladığım gibi birşey olmuş da bunu farklı sürümlerde deneyemeyiz dimi?Mesela Php B. B. 2.0.22 de bir açık bulabilir miyiz ya da bu açığı bu sürümde de kullanabilir miyiz? Rus ile aldatmayanı etmeli takdir, tek biri ile uslanmayanın hakkı kçektir.

mod_security 2.1.0 ve aşağısındaki tüm sürümlerde bulunan süper açık el yapımı mod_security e güvenen tüm php coderlarını kara kara düşündürücek nitelikte :)olay şyle;diyelimki bir php kodumuz var<?php if (isset echo ;?>şeklinde gelen bütün postları ekrana yazdırıyoruz. mod_security aktif diyelim... sayfaya post olarak&var=<script>alert ;</script>verisini gnderdik.. default configde ayar yoksa kodumuz çıkıcaktır yine.. yada engellenebilinir mod_security tarafından engellenmese bile log dosyasında XSS saldırısı olaiblir diye kayıt eklenicek. buraya kadar herşey normal.. bu query mizin başına ascii 0 karakteri eklediğimizde mod_security i aşaibliyoruz! rnek olarak;$ echo -e "\000&var=<script>alert ;</script>" > postdata$ curl http://localhost/test. php --data-binary @postdata -A HarmlessUserAgent<script>alert ;</script>bu curl kullanan linuxcu abilerimiz için yabancı bi sitede hazırlanmış kod.. tabi aynı karakteri windowsdada hazırlayıp post edebilirsiniz rneğin denyolaunch un test tuşu ile tek bir post verisi gndererek.. gersi sizin yaratıcılığınıza kalmış. :)kaynak: http://www.php-security.org/MOPB/BONUS-12-2007.html

ouww saol hoca işe yarar açık. Abra Kadabra

ya ben anlamadım açıkçası ama sanırım nemli bir açık. Şimdi bir soru soracam ama diyeceksiniz ki biz amelemiyiz yada ezikmisin felan ben genede sormak istiyorum... Ya bi forum var phpbb ve phpbb security mod yüklü. Ve o sitenin database sini elime geçirmem lazım çok güzel ve nemli bilgiler var sitede. Bu açıkla database ele geçirmem gibi bir olay sz konusu mu. Sanırım hayır amaemin olmadığım için cevabınızı bekliyorum..

Tayok aynı durumu ben de yapmak istiyorum ve ben nce flood denemesi yapmak istedim ama phpbb olduğu için bunun koruması olduğunu ğrendim sonra.. Tabiki mantıklı olarak byle bir açık bulma yoluna girdim.. Ben bilgileri ele geçirmek değil de direk olarak siteye erişimi engellemek istiyorum.. Site hayatımı gçertti a. k.. Eğer bilgisi olan varsa bizlerle paylaşırsa sevinirim.. Sakın aklınıza smürmek ya da parazit gibi yararlanmak gelmesin tamamen ihtiyacım olduğu için ve gerekli olduğu için istiyorum.. Saygılarımla.. Rus ile aldatmayanı etmeli takdir, tek biri ile uslanmayanın hakkı kçektir.