Commentaires sur : Faille sécurisée: attention à la shoutbox (wordsprew) de Pierre danger injection sql

Par : Playmobil Zombie

Playmobil Zombie — Thu, 07 Feb 2008 21:39:26 +0000

Bon j’ai réuploadé le fichier avec la modif mais je sais pas comment vérifier.

Si tu veux contacte moi par plugoo ça sera plus rapide

Par : Jigs4w

Jigs4w — Thu, 07 Feb 2008 21:34:14 +0000

essaye de remplacer
$id = isset($_GET[’id’]) ? $_GET[’id’] : "";
Par
$id = isset($_GET[’id’]) ? mysql_real_escape_string($_GET[’id’]) : "";
et dis moi si ca marche

Par : Jigs4w

Jigs4w — Thu, 07 Feb 2008 21:03:31 +0000

Essaye de voir du coté des fonctions php : mysql_real_escape_string()

Par : Playmobil Zombie

Playmobil Zombie — Thu, 07 Feb 2008 20:35:07 +0000

Le problème c’est que je ne sais pas comment corriger la faille:

Input passed to the parameter "id" in wordspew-rss.php is not
properly sanitised before being used in SQL queries. This can be
exploited to manipulate SQL queries by injecting arbitrary SQL code.

SOLUTION:
Edit the source code to ensure that input is properly sanitised.

Par : Jigs4w

Jigs4w — Thu, 07 Feb 2008 19:14:29 +0000

De rien, essaye de voir si il existe une mise a jour du module, et pour ton information et si tu souhaite faire des recherches, ce type de failles ce nomme : Injection SQL, car on introduit une requête SQL a la place de la requete effectué normalement. Ca doit être une des failles les plus répandue sur le web.
A bientôt et bonne chance pour ton site.

Par : Playmobil Zombie

Playmobil Zombie — Thu, 07 Feb 2008 19:04:31 +0000

Salut Jigs4w,

Je te remercie d’être revenu expliquer la faille. C’est la shoutbox, plus précisément le flux rss qui est défaillant. J’ai plus qu’à comprendre comment réparer le truc.

encore merci

Par : Jigs4w

Jigs4w — Thu, 07 Feb 2008 18:32:18 +0000

Salut, voici la démarche que j’ai utiliser pour me connecter a ton site, j’espère que ça pourra t’aider :

Script pour exploiter la faille URL du module qui contient la faille Hash MD5 Résolue : -> md5 | b83673029bd6c8e92af9faffe8b36ae0 | 1178fc | cracked | 2008-02-04 13:35:26 On a donc les identifiant : Pseudo : Admin
Mot de passe : 1178fc Et ont se connecte ici
Donc je pense que tu as compris ton module RSS est défaillant, répare le vite avant que des personnes mal intentionnés prennent les mot de passe de tes membres ( et par conséquent le tient )Bye

Par : Playmobil Zombie

Playmobil Zombie — Wed, 06 Feb 2008 21:34:25 +0000

ben t’as un formulaire de contact