Pica server

[Bl1tzz]

Problema intalnita (descriere): Cand intra cineva pe server si tasteaza comanda /report,/changepass si scriu acolo %s, mie imi pica server, va rog ajutor.
Ero(area / rile) / warning-(ul / urile): -
Liniile de cod / sursa / script-ul(obligatoriu): -
Imagini / Video (optional): -
Ati incercat sa rezolvati singur?:  Da, insa nu pot, va rog ajutor.

[Sinner.PWN]

Acum 18 ore, Bl1tzz a spus:

Cand intra cineva pe server si tasteaza comanda /report,/changepass si scriu acolo %s, mie imi pica server, va rog ajutor.

Eu i-am dat solutia baiatului de mai sus. Daca tu zici ca ce i-am dat eu acolo e solutie pentru "flood" inseamna ca sunt eu prost rau de tot. Intr-adevar nu ii asigura protectie impotriva a SQL Inject-ului dar bat la pariu ca nici nu o sa i se faca prin dialogurile alea pentru ca in ultimele versiuni de plugin sunt stopate automat tentativele si n-au efect.

Important e sa scoti semnele: ' si ; nu ` pentru ca poti face si table_name nu doar `table_name`  Ai mai jos o lista cu caractere care sunt capabile de SQL Injection. Daca am jignit tin sa-mi cer scuze

new len = strlen( inputtext );
for( new i = 0; i < len; ++i )
{
  if( inputtext [ i ] == '%' || inputtext [ i ] == ';' || inputtext [ i ] == '`' || inputtext [ i ] == '/' || inputtext [ i ] == '\' )
    inputtext [ i ] = '#';
}

• \0   An ASCII NUL (0x00) character.
• \'   A single quote (“'”) character.
• \"   A double quote (“"”) character.
• \b   A backspace character.
• \n   A newline (linefeed) character.
• \r   A carriage return character.
• \t   A tab character.
• \Z   ASCII 26 (Control-Z). See note following the table.
• \\   A backslash (“\”) character.
• \%   A “%” character. See note following the table.
• \_   A “_” character. See note following the table.

Edited August 24, 2016 by SoNNy.sys

[Mister]

 

[Sinner.PWN]

new len = strlen( inputtext );
for( new i = 0; i < len; ++i )
{
  if( inputtext [ i ] == '%' )
    inputtext [ i ] = '#';
}

Foloseste asta cu incredere, e mai optimizata si da un randament mai bun.

[Daedric-Fox]

2 hours ago, SoNNy.sys said:

new len = strlen( inputtext );
for( new i = 0; i < len; ++i )
{
  if( inputtext [ i ] == '%' )
    inputtext [ i ] = '#';
}

Foloseste asta cu incredere, e mai optimizata si da un randament mai bun.

Asta te scapă doar de Flood, dar de sql inject nu.

[Sinner.PWN]

Acum 8 minute, DaEdRiC-FoX a spus:

Asta te scapă doar de Flood, dar de sql inject nu.

Esti paralel daca ai scos asa porumbel pe gura. Analizeaza codul mai bine si ai sa vezi ca e pentru sql inject nu "flood"...

[Daedric-Fox]

1 hour ago, SoNNy.sys said:

Esti paralel daca ai scos asa porumbel pe gura. Analizeaza codul mai bine si ai sa vezi ca e pentru sql inject nu "flood"...

Eu sunt paralel? Baiatu' tu acolo verifici daca se găsește caracter % si il înlocuiește cu # pentru sql inject nu văd nimic.Dar eu sunt cel paralel, eu zic sa mai analizezi tu odată codul :)).

 

Cred că tu nu știi ce e ala sql inject sau ce e ala Flood..

 

 

new len = strlen( inputtext );

for( new i = 0; i < len; ++i )

{

If( inputtext [ i ] == '%'  || inputtext == '`') inputtext [ i ] = '#';

}

 

Fa diferența si vezi ca tu ești ala care greșește.

[Daedric-Fox]

7 minutes ago, SoNNy.sys said:

Eu i-am dat solutia baiatului de mai sus. Daca tu zici ca ce i-am dat eu acolo e solutie pentru "flood" inseamna ca sunt eu prost rau de tot. Intr-adevar nu ii asigura protectie impotriva a SQL Inject-ului dar bat la pariu ca nici nu o sa i se faca prin dialogurile alea pentru ca in ultimele versiuni de plugin sunt stopate automat tentativele si n-au efect.

Frate, nu o da în altele, eu in postul meu am zis că este doar pentru Flood nu pentru sql inject, si tu ai sarit cu gura ca eu sunt paralel si nu stiu ce, eu am specificat ca nu este pentru sql inject.

Te dai cam cocos in scripting, poate ai niste cunostine dar fi atent si nu te mai grabi ca....(să nu continui).

 

[Sinner.PWN]

Imi cer scuze daca am fost arogant sau am jignit aiurea. Am fost indus in eroare deoarece ai dat quote la codul meu de mai sus si ai scris " Asta te scapă doar de Flood, dar de sql inject nu." Eu ce sa inteleg? Am crezut ca ai zis de codul meu ca e pentru flood.

[Daedric-Fox]

3 minutes ago, SoNNy.sys said:

Imi cer scuze daca am fost arogant sau am jignit aiurea. Am fost indus in eroare deoarece ai dat quote la codul meu de mai sus si ai scris " Asta te scapă doar de Flood, dar de sql inject nu." Eu ce sa inteleg? Am crezut ca ai zis de codul meu ca e pentru flood.

Nu.i nimic.

T/C Rezolvat.