1. PHP / Говнокод #10383

    +68

    1. 1
    2. 2
    3. 3
    4. 4
    ...... HTML .....
if(isset($_GET["page"])){ $page = $_GET["page"].".php"; echo $_GET['page'];} else { $page = "main.php"; }
if(file_exists("./pages/$page")){ include "./pages/$page"; }else{ include "./pages/404.php"; } 
...... HTML .....

    Говно сайт http://lovegay.su/

    Запостил: good_web_master, 28 Мая 2012

    Комментарии (31) RSS

    • ava T_ENGINE 28.05.2012 15:48 # +2

      О, вижу XSS. А еще, этот код напомнил мне вот этот пост с Хабра - http://habrahabr.ru/post/143548/
      Ответить

    • ava bormand 28.05.2012 16:14 # +3

      include "./pages/$page";

      Хоть бы регуляркой проверили для приличия...
      Ответить

      • ava alex322 28.05.2012 19:19 # 0

        вот тому подтверждение http://lovegay.su/?page=../index
        Ответить

    • ava Lure Of Chaos 29.05.2012 00:14 # +1

      вот какой пидарас это делал?
      Ответить

    • ava heleg 29.05.2012 15:03 # −2

      объясните быдлокодеру (то есть мне), где тут уязвимость. сжальтесь
      Ответить

      • ava bormand 29.05.2012 15:56 # +1

        > $page = $_GET["page"].".php"
        > include "./pages/$page"
        Позволяет выполнить произвольный php скрипт из числа доступных серверу.
        Ответить

        • ava heleg 29.05.2012 16:24 # 0

          и что в этом опасного? там парни вообще про xss говорили
          Ответить

          • ava bormand 29.05.2012 16:39 # +3

            А XSS в echo $_GET['page']
            Ответить

          • ava psycho-coder 29.05.2012 16:42 # 0

            Еще можно подсунуть свой скрипт php на своем сервере и указать путь к нему в $page. А сервер настроить, что бы выдавал php как текст не обрабатывая.
            И все...
            Ответить

            • ava guest 29.05.2012 16:44 # −5

              показать все, что скрытоПо-моему ты долбоёб
              Ответить

              • ava psycho-coder 29.05.2012 16:50 # 0

                По-моему, ты не лучше
                Ответить

                • ava guest 29.05.2012 16:53 # −5

                  показать все, что скрытоты всего-лишь среднестатистический школьник, который в комментариях пишет хуйню тут таких 95%
                  Ответить

                  • ava psycho-coder 29.05.2012 16:55 # 0

                    > ты всего-лишь среднестатистический школьник,
                    Ебать, где ты прячешся? Откуды ты знаешь что я школьник?

                    > который в комментариях пишет хуйню тут таких 95%
                    Надеюсь ты понимаешь что твой пост тоже попадаетв эти 95%
                    Ответить

            • ava bormand 29.05.2012 16:44 # +3

              Ээ, а ./pages/ в начале строки разве не помешает сослаться на свой сервер?
              Ответить

              • ava psycho-coder 29.05.2012 16:49 # +1

                Упс. Не заметил.
                Ответить

              • ava vistefan 29.05.2012 17:10 # −1

                Это тоже не страшно, берёшь и забиваешь как-то так:
                ulr/?page=%08%08%08%08%08%08%08%08http://govnokod.ru/index
                Не забываем, что скрипт сам добавляет '.php'
                Но file_exist всё равно портит всю малину.
                Ответить

                • ava bormand 29.05.2012 17:13 # +1

                  С каких пор функции, работающие с ФС, переваривают бекспейсы?
                  Ответить

                  • ava vistefan 29.05.2012 17:28 # −1

                    Я уже понял что не переваривает :(
                    ФС? Кто это?
                    Ответить

                    • ava bormand 29.05.2012 17:29 # +1

                      Файловая Система
                      Ответить

                      • ava vistefan 29.05.2012 17:38 # −1

                        Я просто думал что это всё переработается внутри строки, до обращения к файлу...
                        Ответить

                    • ava guest 29.05.2012 17:30 # 0

                      Файловая система
                      Ответить

                    • ava guest 29.05.2012 17:30 # −4

                      Реально школьники пиздуйте на свои говноборды
                      Ответить

              • ava eth0 29.05.2012 19:52 # +1

                На свой помешает, а вот LFI - пожалуйста. Ещё, теоретически, в системе может не быть обработчика удалённой схемы, тогда и удалённый инклюд не поможет.
                Как говорят знающие люди, наличие LFI - уже половина беды, можно ковырять дальше.
                Ответить

          • ava bormand 29.05.2012 16:54 # +1

            Ну только в этом - в принципе ничего, но если есть способ закинуть куда-то phpшку, так чтобы она была доступна пользователю под которым исполняются скрипты...

            Ну в общем нехорошо так делать.
            Ответить

    • ava skryisli 05.06.2012 14:06 # +1

      По-моему это просто кусок отладки. Вообще не о чем говорить.
      Ответить

    Добавить комментарий