Форум: Форум PHPФорум ApacheФорум Регулярные ВыраженияФорум MySQLHTML+CSS+JavaScriptФорум FlashРазное
Новые темы: 0000000
PHP 5. На примерах. Авторы: Кузнецов М.В., Симдянов И.В., Голышев С.В. PHP на примерах (2 издание). Авторы: Кузнецов М.В., Симдянов И.В. PHP Puzzles. Авторы: Кузнецов М.В., Симдянов И.В. Социальная инженерия и социальные хакеры. Авторы: Кузнецов М.В., Симдянов И.В. Объектно-ориентированное программирование на PHP. Авторы: Кузнецов М.В., Симдянов И.В.
ВСЕ НАШИ КНИГИ
Консультационный центр SoftTime

Форум PHP

Выбрать другой форум

 

Здравствуйте, Посетитель!

вид форума:
Линейный форум Структурный форум

тема: Обойти PHP Nuke
 
 автор: Anwor   (09.03.2006 в 15:27)   письмо автору
 
 

Вот еще кое-какая тема. Намедни пытался в институтском чате, который сделан на PHP и Java как внешний обработчик, в обычном поле посыла сообщения закрыть тег </script> после того как просек, что начинается все с <script language..... >. Чат вообще сделан достаточно кривенько, какие-то непонятные фреймы там и тут, глюков выше крыши - короче, просто полигон для хака. Ну а тут в одном из фреймов он мне выдает что-то типа: "PHP NUKE: this script tag is not allowed". Как ни бился, какие Java/PHP-шные команды ни прописывал - никак не пробивалась эта стенка. Кто-нить может подсказать, что это вообще за нафиг и как его обойти (посылом админовского заголовка, или еще как-то)?
Сразу оговорюсь: никаких тут корыстных целей, просто как саморазвитие...

   
 
 автор: Loki   (09.03.2006 в 15:36)   письмо автору
 
   для: Anwor   (09.03.2006 в 15:27)
 

Скачайте ньюк, да посмотрите как обрабатываются данные из формы. Возможно, регулярными выражениями, возможно strip_tags().
В любом случае, думаю что "в лоб" эта проблема не решается.

   
 
 автор: JIEXA   (09.03.2006 в 18:21)   письмо автору
 
   для: Anwor   (09.03.2006 в 15:27)
 

там в файле mainfile.php стоит фильтр тегов. и если какие-нибудь ява - то сразу выводит эту месагу...

   
 
 автор: Anwor   (10.03.2006 в 22:42)   письмо автору
 
   для: JIEXA   (09.03.2006 в 18:21)
 

А еще как-то можно в текстовом поле прописать команду PHP так, чтоб он ее воспринял НЕ как обычный текст, а именно как команду? Я лично ничего не могу скумекать кроме как закрыть </script>....

   
 
 автор: cheops   (11.03.2006 в 14:52)   письмо автору
 
   для: Anwor   (10.03.2006 в 22:42)
 

Хм... для выполнения PHP-кода обычно используют функцию eval().

   
Rambler's Top100
вверх

Rambler's Top100 Яндекс.Метрика Яндекс цитирования