Forum Krótkofalarskie PKI

Nie tyle strona pozwala, co ty do strony coś dopisujesz.
No dobra - to inaczej , dowolną stronę można zapisać do pliku html i dowolnie zmodyfikować , tylko po co.
Tutaj modyfikujesz zapytanie i cała frajda z tego, że uszkodzone zapytanie zostaje wyświetlone u ciebie na monitorze.
Ja raczej wole inne przyjemności.

Init

Init pisze:

Nie tyle strona pozwala, co ty do strony coś dopisujesz.
No dobra - to inaczej , dowolną stronę można zapisać do pliku html i dowolnie zmodyfikować , tylko po co.
Tutaj modyfikujesz zapytanie i cała frajda z tego, że uszkodzone zapytanie zostaje wyświetlone u ciebie na monitorze.
Ja raczej wole inne przyjemności.

Init

To teraz sobie wyobraź scenariusz, że zaczynam rozsiewać takie linki na PKI, kod w js pobiera koparkę i na komputerze klikającego odpala mi koparkę do *coinów albo cokolwiek. Np. serwer z pornografią dziecięcą (widziałem takie przypadki).

SQ5KLN pisze:


edit Link Canisa (poprawiony) wyświetla okienko - to tylko przykład, taki skrypt może zrobić wszystko z kontekstu przeglądarki użytkownika (między innymi zrobić dowolne rzeczy na dowolnych stronach z których użytkownik przeglądarki się nie wylogował itp.).

Np. opublikować coś na forum z konta kogoś innego (klikającego w link).

Dodanie do czegokolwiek ( zwłaszcza jako link) kodu java script może być szkodliwe.
I trzeba to wyraźnie powiedzieć, że nie ma znaczenia do czego czy do .pdf czy jakie strony www zostan ie dopiety.
To nie strona jest nie bezpieczna , ale ten scrypt. A co do rozsiewania tak spreparowanych informacji i rozpowszechniania np. na PKI , to sa na to o wiele skuteczniejsze sposoby.


Init

Init pisze:

Dodanie do czegokolwiek ( zwłaszcza jako link) kodu java script może być szkodliwe.
I trzeba to wyraźnie powiedzieć, że nie ma znaczenia do czego czy do .pdf czy jakie strony www zostan ie dopiety.
To nie strona jest nie bezpieczna , ale ten scrypt. A co do rozsiewania tak spreparowanych informacji i rozpowszechniania np. na PKI , to sa na to o wiele skuteczniejsze sposoby.
Init

Ale strona nie powinna na takie cos pozwalać. Są do tego odpowiednie metody. Doklej cos takiego na onecie czy innym googlu - sam zobaczysz, ze kompletnie nic się nie stanie. Wbrew pozorom to jest bardzo skuteczna metoda ataku. Bardzo prosta, przez co skuteczna. Dobrze napisana strona nie wklei tego kodu do zawartości html przekazywanej użytkownikowi.

Tak ad hoc, przychodzi mi do głowy &lt,noscript&gt, w html.



Init

Init pisze:

Tak ad hoc, przychodzi mi do głowy &lt,,noscript&gt,, w html.

Init

Swoją drogą dziura w tym forum: autor łatając poprzednią, zaczął dodawać przecinki do daszków. Ale tylko na etapie pisania posta. Można edytować :-)

canis_lupus pisze:


Init pisze:

Tak ad hoc, przychodzi mi do głowy &lt,,,noscript&gt,,, w html.

Init


Swoją drogą dziura w tym forum: autor łatając poprzednią, zaczął dodawać przecinki do daszków. Ale tylko na etapie pisania posta. Można edytować :-)

Przecinki się dodają przy kolejnych odpowiedziach!

A z ciekawości, jaka klasa obsługuje takie przypadki - "Wbrew pozorom to jest bardzo skuteczna metoda" ?.


Init

Init pisze:

A z ciekawości, jaka klasa obsługuje takie przypadki - "Wbrew pozorom to jest bardzo skuteczna metoda" ?.


Init

Nie zrozumiałem pytania.

To przed chwilą dostał canis od Spika, ale zapewne nie pochwali się.

Heja Szymon!

Dlaczego nazywasz dziurą zwykła zabawę?
Co z tego, że każdy może sobie coś napisać w nagłówku?
Jak chcesz poważniej coś pohackować, to podpowiem, jedyne co ta strona robi (oprócz wrzucania $_GET['call'] w nagłówek to:

&lt,?php

echo "var logCSV = '".str_replace("\r\n",",",file_get_contents('logs_csv/'.str_replace("/","_",$_GET['call']).'.csv')."',",
?&gt,

Byłbym wdzięczny za poważne próby włamywania się i modyfikacji zawartości serwera i donoszenie o tym, a nie zabawy które były popularne w latach 90' i nic z dziurami wspólnego nie mają.

Po prostu dorzucanie "antyzabawowych" algorytmów jest zbędne, bo te zabawy dla większości zrobiły się nudne lata temu i nie są w żaden sposób szkodliwe.

Ten sam poziom hakerstwa to: &lt,a href="http://dupa8.com"&gt,TO JEST STRONA SP DX CONTESTU&lt,/a&gt,.

Jak ktoś jest na tyle gupi, żeby uwierzyć, że wszedl na stronę SP DX Contestu i mieć pretensje, że strona jest zhackowana, no to teges...

Narazka!

73/nj

I jeszcze jedno.
To co oglądamy w swoich przeglądarkach po kliknięciu na https://spdxcontest-2018.pzk.org.pl/2018/ wyświetla się tylko na Waszych ekranach. To się są dane z serwera.
Dlatego są to pakiety po 50 lub 100 rekordów, aby nie zamulały starych i mało wydajnych kompów.

Skoro mamy metodę , to chyba chodzi o użycie jakieś klasy - o to pytam.
No chyba, że nie mówimy o stronie www w javie, ale o czymś inny - to przepraszam.



Init

Init pisze:

Skoro mamy metodę , to chyba chodzi o użycie jakieś klasy - o to pytam.
No chyba, że nie mówimy o stronie www w javie, ale o czymś inny - to przepraszam.
Init

Bosz... Metody maja nie tylko klasy. I nie mówimy o stronie www w javie tylko co najwyżej o javascripcie na stronie www.

SP8LBK pisze:

To przed chwilą dostał canis od Spika, ale zapewne nie pochwali się.

...

I jeszcze jedno.
To co oglądamy w swoich przeglądarkach po kliknięciu na https://spdxcontest-2018.pzk.org.pl/2018/ wyświetla się tylko na Waszych ekranach. To się są dane z serwera.
Dlatego są to pakiety po 50 lub 100 rekordów, aby nie zamulały starych i mało wydajnych kompów.

Gwarantuję Ci, że... nie dostałem. Moja skrzynka wie co robić z mailami od Spaika, bo są warte mniej więcej tyle co zawiadomienia o 50mln $ spadku.

OK - zrozumiałem.

Zostajemy w piaskownicy i udajemy, że wszystko wiemy.
Nie ma sprawy , może być i taka konwencja tego pisania.


Init

bez odbioru

Nie będę się pastwił - nie kopie się leżącego, dlatego tą żałosną próbę wybrnięcia z sytuacji pozostawię bez komentarza.




Init

SQ5KLN pisze:


Init pisze:

Skoro mamy metodę , to chyba chodzi o użycie jakieś klasy - o to pytam.


Nie chodzi o metodę jako pojęcie z programowania obiektowego, tylko o metodę rozumianą jako sposób postępowania.


Init pisze:


No chyba, że nie mówimy o stronie www w javie, ale o czymś inny - to przepraszam.



Nie ma stron WWW w Javie (chyba że podciągniemy pod to applety w Javie, ale to prehistoria), są tylko strony WWW wygenerowane (statycznie bądź dynamicznie) przez program napisany w Javie (ale nadal są to strony w HTML+JS).

Co do strony SP DX Contest: była kolejnym miejscem w sieci ułatwiającym dokonanie ataku XSS - tylko tyle.

O której stronie SP DX Contestu piszesz??
Jeśli o starej, to masz rację. Powstała ona kilkanaście lat temu i nie była specjalnie rozwijana.

Poza tym, w jakim stopniu krótkofalowiec, tym bardziej polski, musi mieć zmieszany mózg z g...em, aby próbować włamywać się na stronę organizatora polskich zawodów i jeszcze się tym publicznie chwalić.
Jeśli już zauważy jakich błąd, lub lukę w zabezpieczeniu, powinien skontaktować się bezpośrednio z administratorem strony, a nie publicznie głosić wieść o swojej głupocie.

SP8LBK pisze:


Poza tym, w jakim stopniu krótkofalowiec, tym bardziej polski, musi mieć zmieszany mózg z g...em, aby próbować włamywać się na stronę organizatora polskich zawodów i jeszcze się tym publicznie chwalić.
Jeśli już zauważy jakich błąd, lub lukę w zabezpieczeniu, powinien skontaktować się bezpośrednio z administratorem strony, a nie publicznie głosić wieść o swojej głupocie.

Pewnych rzeczy nie rozumiesz, ale to nie przestępstwo. Pojęcie o tym co tu napisane POWINIEN mieć ten, co strony robi. W sytuacji kiedy robi za darmo, bo organizacji nie stać na profesjonalistę - jest to wybaczalne i jakoś usprawiedliwione. To nie jest problem.
Problemem jest to, ze ktoś mógłby to chcieć wykorzystać do bardziej niecnych celów, o których zresztą pisałem wyżej, te już pociągają za sobą dosyć nieprzyjemne skutki dla odwiedzającego.
I owszem, w normalnej sytuacji zgłasza się takie rzeczy administratorowi. pod warunkiem, że nie jest bucem, z którym odechciewa się kontaktować. Jak pokazuje przykład mojej korespondencji z prezesem SP DX Clubu (Tobą), zgłaszanie problemów właścicielowi skutkuje jedynie wyśmianiem. Wtedy takie rzeczy robi się publicznie. Niestety.

To może, żeby było wiadomo o co spór się ten toczy - Pro publico bono !

Abstrakt

https://sekurak.pl/bezpieczenstwo-html5-podstawy-czesc-2/


W swojej wypowiedzi użyłem skrótu myślowego, zgodnie z powiedzeniem - mądrej głowie dość po słowie.


Init

canis_lupus pisze:


SP8LBK pisze:


Poza tym, w jakim stopniu krótkofalowiec, tym bardziej polski, musi mieć zmieszany mózg z g...em, aby próbować włamywać się na stronę organizatora polskich zawodów i jeszcze się tym publicznie chwalić.
Jeśli już zauważy jakich błąd, lub lukę w zabezpieczeniu, powinien skontaktować się bezpośrednio z administratorem strony, a nie publicznie głosić wieść o swojej głupocie.



Pewnych rzeczy nie rozumiesz, ale to nie przestępstwo. Pojęcie o tym co tu napisane POWINIEN mieć ten, co strony robi. W sytuacji kiedy robi za darmo, bo organizacji nie stać na profesjonalistę - jest to wybaczalne i jakoś usprawiedliwione. To nie jest problem.
Problemem jest to, ze ktoś mógłby to chcieć wykorzystać do bardziej niecnych celów, o których zresztą pisałem wyżej, te już pociągają za sobą dosyć nieprzyjemne skutki dla odwiedzającego.
I owszem, w normalnej sytuacji zgłasza się takie rzeczy administratorowi. pod warunkiem, że nie jest bucem, z którym odechciewa się kontaktować. Jak pokazuje przykład mojej korespondencji z prezesem SP DX Clubu (Tobą), zgłaszanie problemów właścicielowi skutkuje jedynie wyśmianiem. Wtedy takie rzeczy robi się publicznie. Niestety.

Podaj przykład, kiedy zwróciłeś się do prezesa SP DX Clubu i zgłosiłeś jakiś problem ze stroną SP DX Contestu, bo to co tu napisałeś, to problem sobie sam stworzyłeś i rajcowało cię oglądanie go tylko na swoim ekranie.