sf: v2 alpha download

sf: v2 alpha download 13.11.2005. u 07:58 · pre 255 meseci #1

Konacno, alpha verzija. Ima stvari koje se trebaju popraviti, ... tako i da ocekujem kritike:)

http://sf.blackhatz.net/sfdw

Features:

- Categories
- Boards
- Search
- Posting/Repling [ if you have permission ]
- BB Code
- Smilies
- Help file
- Member list
- User online
- Registration
- Edit Profile
- Sending email via board [ if user has set in profile to receive ]
- View Profile
- Statistics
- Multi Languages
- Multi Styles

MODERATOR

- Topic deleting
- Topic locking/unlocking
- Topic normalizing [ untop and unlock ]
- Topic stick/unsticky
- Move topic to other board

ADMINISTRATOR

- General forum configuration
- edit member
- ban member
- unban member
- delete member
- change member status [ supermod, user, admin ]
- add category
- edit categories
- add board
- edit boards

...

i jos dosta toga

komentari?:)

Re: sf: v2 alpha download 14.11.2005. u 00:32 · pre 255 meseci #2

Parvo sti mi je upalo u oci jeste kad kucas punu putanju do fajlova koji se nalaze u includes/root/
includes
pojavjuje su greske tipa Warring , Error itd....

Mozda resenje za to je na pocetku scripte staviti nesto ovako :

Code:

if (eregi("naziv_stranice.php",$PHP_SELF)) {
Header("Location: index.php");
die();
}

Potpis

Sto mozes danas ne ostavljaj za sutra!

Re: sf: v2 alpha download 14.11.2005. u 07:14 · pre 255 meseci #3

hvala

Re: sf: v2 alpha download 14.11.2005. u 10:43 · pre 255 meseci #4

Nema na cemu!!!

Nemam sad vremena da proveravam i bezbednost foruma, u vezi XSS, SQL inekcija.
Ali ovo mi je jos upalu u oci!!!

- kad radim pretragu( nisam ulogovan) dobijam ovo :

Warning: Cannot modify header information - headers already sent by (output started at /home/sf/public_html/forum/templates/header.html:6) in /home/sf/public_html/forum/includes/updatecookie.php on line 5

- Kod pokusaja odgovora na zapocetu themu (tipa SQL inekcija) :

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in c:\server\www\test\sforum\includes\root\reply.php on line 22

Potpis

Sto mozes danas ne ostavljaj za sutra!

Re: sf: v2 alpha download 14.11.2005. u 14:17 · pre 255 meseci #5

Sad sam proverio sto se tice prtrage i sve radi.

To sto vidis na sf.blackhatz.net/forum NIJE najnovija verzija, radio sam jos mnooogo posle toga.

To za download je najnovija. Probaj na localhostu.

Sto se tice nove teme, kopiraj mi sta si pokusao pa da vidim.

tnx again:)

Re: sf: v2 alpha download 14.11.2005. u 22:33 · pre 255 meseci #6

U search formu ubaci ovaj znak '

Kad odgovaras na temu na kraju linka dodaj '

index.php?act=reply&TopicID=1'

Videces greske !!!!!

Potpis

Sto mozes danas ne ostavljaj za sutra!

Re: sf: v2 alpha download 15.11.2005. u 05:58 · pre 255 meseci #7

ma to sa searchom je do verzije, ko sto rekoh ta okacena nije najnovija.

Na localhostu sve radi.

Sto se tice reply, sredio sam i to, prvo proveram da li je ispravan ID, a onda da li postoji u bazi.

Re: sf: v2 alpha download 15.11.2005. u 08:48 · pre 255 meseci #8

Pa meni i na lokalu javlja gresku kad radim pretragu:

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in d:\WebServer\www\test\sforum\includes\root\classes.php on line 24

Potpis

Sto mozes danas ne ostavljaj za sutra!

Re: sf: v2 alpha download 15.11.2005. u 13:42 · pre 255 meseci #9

ok, pogledacu...

Re: sf: v2 alpha download 16.11.2005. u 07:56 · pre 255 meseci #10

logged.php

Code:


    if ($_SESSION['logged'] == "yes")
    {
                         // Ako je ulogovan
        include "lang/$Language/lang.php";
    }
    else
    {
                          // Ako nije ulogovan
                          // Remote file inclusion
        include "lang/$DefaultLang/lang.php";
    }

Vidis taj tvoj kod !!!

Kao sto sam ti preko rekao uvek je na stranice koje se ukljucuju treba staviti zabrana na direktan pristup!!!!

Recimo ako logged.php nije obezbedjen kako sto je bilo u ovoj veriziji koju sam ja skino onda preko direktnog pristupa ovaj kod pada u vodu!!!!!

Code:

http://[target]/includes/root/logged.php?&DefaultLang=../../i tako dalje do zeljenog cilja

tj mozes da vidis na boot.ini ili etc/passwd !!!!

Potpis

Sto mozes danas ne ostavljaj za sutra!

Re: sf: v2 alpha download 16.11.2005. u 09:46 · pre 255 meseci #11

da, ali to ce da radi samo ako je register_globals = on..

Potpis

:: Nemoj se svadjati sa budalom, ljudi cesto nece primjetiti razliku ::

Re: sf: v2 alpha download 16.11.2005. u 09:56 · pre 255 meseci #12

@misk0
Upravo tako !!!
Kad sam menjao poruku zaboravio sam da vraim napomenu!!!!

Potpis

Sto mozes danas ne ostavljaj za sutra!

Re: sf: v2 alpha download 16.11.2005. u 13:45 · pre 255 meseci #13

ok, sredicu to.

Code:

if ($_GET['DefaultLang'] OR $_GET['DefaultStyle']) die("try to hack?");

Re: sf: v2 alpha download 16.11.2005. u 14:24 · pre 255 meseci #14

eh da...

cisto da kazem u vezi ovog:
include "lang/$DefaultLang/lang.php";

znaci stavimo da je $DefaultLang = "../../", to znaci da ide 2 foldera unazad.

Ako stavis npr. ../../etc/passwd onda ce da bude putanja:

include "lang/../../etc/passwd/LANG.PHP";, tako da nema nista od toga... :)

u svakom slucaju hvala

Re: sf: v2 alpha download 17.11.2005. u 00:07 · pre 255 meseci #15

Ja sam testirao na LINIXU i Windowsu ovako :

%00

Code:

//win
http://[target]/includes/root/logged.php?&DefaultLang=../../../../../../../../../../boot.ini%00

// Linux
http://[target]/includes/root/logged.php?&DefaultLang=../../../../../../../../../../../../../etc/passwd%00

Na oba sam dobio sta sam hteo !!!!!

Potpis

Sto mozes danas ne ostavljaj za sutra!

Re: sf: v2 alpha download 17.11.2005. u 06:42 · pre 255 meseci #16

smallForum v2.0.2 alpha released

Popravljeni svi bugovi koji su ovde prijavljeni, + jos 2 buga.

Download ovde: http://sf.blackhatz.net/sfdw

Hvala sale83, na velikoj pomoci!

Re: sf: v2 alpha download 17.11.2005. u 09:35 · pre 255 meseci #17

/includes/root/index.php -> Ovde si zaboravio da stavis zabranu direktnog pristupa

isto tako za sve fajlove u includes/

Slobodno sve fajlove koje pozivas sa include() stavi na pocetak svakog fajla onaj gore kod!!!

Jos uvek kad radim pretrgagu dobijam ovu gresku :

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in sforum\includes\root\classes.php on line 29

\includes\root\search.php

u search.php

Code:

$_POST['fraza']

//zameni sa ovim
addslashes($_POST['fraza'])

Isto tako ako kucas
http://localhost/sforum/message.php -> Dobijas Warring itd...

-> Sredi to dodaj @

Code:

                          default:

                          @include "common.php";
        @include "functions.php";
        OhError($lang['no_action']);

Sad pocinjem da pregledam ADMIN folder :

Opet Remote file inclusion:

register_globals = on

Code:

http://localhost/sforum/admin/addboard.php?Language=../../ do cilja%00

http://localhost/sforum/admin/addcat.php?Language=../../ do cilja%00

i tako svi fajlovi u adminu koji kotiste logged.php

sforum\admin\logged.php

Isto tako ni jedan fajl u adminu nije zasticen od direktnog pristupa!!

Potpis

Sto mozes danas ne ostavljaj za sutra!

Re: sf: v2 alpha download 17.11.2005. u 14:40 · pre 255 meseci #18

hvala mnogo sve cu da sredim:)

Citat:

Isto tako ni jedan fajl u adminu nije zasticen od direktnog pristupa!!

i ne treba biti, kod admina nisam radio switch;)

Re: sf: v2 alpha download 17.11.2005. u 14:54 · pre 255 meseci #19

Onda uradi switch pa lepo zastiti sve fajlove jer ovako sa direktnim pristupom nije dobro!!!
Pozzzzzzzzz

Potpis

Sto mozes danas ne ostavljaj za sutra!

Re: sf: v2 alpha download 18.11.2005. u 14:56 · pre 255 meseci #20

ok sredicu, btw. jesi nasao koji sql injection?:)

Forum kao aplikacija na telefonu

Srodne teme