[閒聊] [XSS!] >> 世運會網站發現XSS弱點

[PHP5 (Powered by Zend Engine2)]

看到板標忍不住去看一看世運網站長怎樣

然後手癢把某頁的 ?id=XXX 數字改成

?id="><script>alert(1234)</script>

結果真的 XSSed 了！


echo $_POST['id']
echo $_GET['id']

很多人都會做這樣的事吧，包括我曾經也是

都不判斷一下就直接 echo 或送給 mysql_query()

很容易被 XSS 和 SQL inj.



如果 id 欄位只接受整數，可以改成

$id = (int)$_POST['id'];
echo $id;


以上只是方式之一，給大家參考 :)




----

大家不要去做壞事哦 :P

有沒有好心的人寫信給公視，fix 一下問題




--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.112.250.220
推 arrack      :話說他的登入頁面 我隨便打也是會進入=_=
※ 編輯: PHP5            來自: 140.112.250.220      (07/21 17:11)
推 j87b0003    :原PO真壞-///-
推 roga        :真好玩 XDDD
推 appleboy46  :大家不要亂搞阿 ～ XDDD 目前正在專案後台管理 XDDD
→ appleboy46  :asp.net ...
推 appleboy46  :http://tinyurl.com/klg8f9 XDD 大家可以練習看看
推 bigair      :出包超有趣的，對吧？
推 roga        :http://www.plurk.com/p/1by3ni 聯絡一下廠商吧~
→ roga        :so 趕快聯絡承辦人/廠商處理吧 XDD
推 shadowjohn  :囧...亂打真的能進，這要修一修啦
推 awashharp   :好棒的教材XDDD
推 chrisQQ     :媽，我成功啦～ ._.\~/
→ awashharp   :第一次SQL Injection就上手~ 照範本打真的過了XDDD
推 awashharp   :話說~XSS那網站是公視的呢~
推 awashharp   :話說裡面很多網站都有相同的問題阿="= 怎麼搞成這樣
推 roga        :就是系統驗收的時候沒有真的去測資安~ XD
→ roga        :承包的 SI 廠商也沒去注意程式碼品質這樣～
推 eric80295   :修好了嗎?
推 albb0920    :還沒吧... 錯誤訊息超完整，有沒有這麼佛心的 XD
→ jami520     :在哪一頁阿? 我也要測試一下~~
推 kusoayan    :我在後台參觀..
推 lgzenith    :會不會明天就報出來阿，還是不要亂玩比較好吧
推 lym520      :完全沒防護嘛= =
推 dream1x     :修好了喔??
推 jimpop      :還沒@@....找不太到怎麼連絡他們~~
推 JYHuang     :我怎麼Injection不進去 = =
推 jimpop      :找到Email寄去了~可是要多久才能修復呢!?
推 JYHuang     :進去了 XD
推 KiroKu      :這篇轉到八卦去，總統府明天會說想認識你XD
推 averywu     :如果我直接用admin填回報單不知道會怎樣-____-
推 KiroKu      :後台直接連到ftp，也沒有設密碼或擋唉批＝ ＝
推 arrack      :只留IP 是更強大的後台XD 人員電話那些都有
→ arrack      :不過這樣登入系統 是違法的行為就是了 要注意一下
推 arrack      :其實有些驗證頁面是假的=_=|||
推 HuangJC     :這句'進去了'很~~
推 bobju       :怎沒'出來了'呢??
推 averywu     :樓上好糟糕,請暫時不要和我說話
推 jimpop      :現在'卡住了'....沒啦~Bug修復了...