Серьезная дыра с выходом из сети
В предыдущем своем проекте обнаружил дыру, которую решил проверить в этом движке и она сработала.
Суть в следующем: если в посте или в комментарии опубликовать ссылку /login/exit, то каждый нажавший ее пользователь будет разлогинен (аналог ссылке «выход» возле имени юзера справа сверху).
В посте линк не привожу по понятным причинам. Желающие могут попробовать в своих проектах.
Так как для апача оба этих линка выглядят одинаково, в текущей реализации выход вижу пока один — добавление к правильному линку «выход» случайного get-параметра, который максимально сложно будет подделать и проверять его на сервере. Либо перевести линк на post.
Отдельная тема для размышления — проверка всех прочих «системных» ссылок на подделку и возможные последствия для рядовых посетителей.
Суть в следующем: если в посте или в комментарии опубликовать ссылку /login/exit, то каждый нажавший ее пользователь будет разлогинен (аналог ссылке «выход» возле имени юзера справа сверху).
В посте линк не привожу по понятным причинам. Желающие могут попробовать в своих проектах.
Так как для апача оба этих линка выглядят одинаково, в текущей реализации выход вижу пока один — добавление к правильному линку «выход» случайного get-параметра, который максимально сложно будет подделать и проверять его на сервере. Либо перевести линк на post.
Отдельная тема для размышления — проверка всех прочих «системных» ссылок на подделку и возможные последствия для рядовых посетителей.
42 комментария
это из разряда — если в посте разместить ссылку на яшу вида , то любой нажавший перейдет на гугль…
думаю, что мало кто из юзеров будет этому рад
теперь ваша почта в моих руках! :)
Одно дело такой прикол в письме получить — удалил письмо и все дела. И совсем другое — на странице сообщества, которую просматривает заметно больше сотни зарегистрированных пользователей в день.
Вам больше делать нечего — пинаете тут старые топики :-)
Хабрахабр взломы начинались тоже потихоньку — вначале с массового разлогирования путем
Потом таким же гет-методом накрутки кармы, и наконец черный властелин на главной.
Верной дорогой идете товарищи.
Все еще смешно?
ЗЫ: да простит меня святая инквизиция.
Честно говоря я с самого начала даже и не увидел ничего, так как картинки отключены :-)
Конечно, это может попортить нервы модераторам. Если раскидать по всем темам, то будет здорово.
Вообще да, соглашусь, если будет заказ, то в системе можно устроить большой разбой. Но усилий надо уйма.