Indetectables

El fallo es sencillisimo:

Code:
SELECT * FROM

El fallo de este codigo es el "*" que por ese pego alguien puede aplastar tu web.

TheSur escribió:

Skillmax escribió:topcat, será algún fallo en la visión, pero donde se utiliza * aquí estamos utilizando:

Código: Seleccionar todo

$id = (int)$_GET['id'];
$query = mysql_query( "SELECT * FROM noticias WHERE id = '$id'");

Este codigo no permite la entradas tipo "noticias?id=123"

Te equivocas, está inyección para nada a quedado obsoleta y aún la sigo viendo, lo de javascript y php, ya lo sabemos, no es nada nuevo amigo, ahora mi pregunta es, ¿Qué fallos ves?, me interesaria que me lo dijeras, para asin solucionarlo.


Para evitar RFI estamos usando str_replace, asin que lo que tú dices es lo que está puesto, es cuestión de fijarse.

Código: Seleccionar todo

$archivo = str_replace(".","",str_replace("http","",$_GET['archivo']));
if(!file_exists($archivo))
{
       die("El archivo no existe");
}
include("./".$archivo.".php");

¿Para que parseas a entero la entrada si luego en el motor sql la tratas como cadena?. Si el parámetro 'id' fuera un string en vez de un entero, ¿tambien lo parsearias a entero? ..

linkgl escribió:

TheSur escribió:

Skillmax escribió:topcat, será algún fallo en la visión, pero donde se utiliza * aquí estamos utilizando:

Código: Seleccionar todo

$id = (int)$_GET['id'];
$query = mysql_query( "SELECT * FROM noticias WHERE id = '$id'");

Este codigo no permite la entradas tipo "noticias?id=123"

Te equivocas, está inyección para nada a quedado obsoleta y aún la sigo viendo, lo de javascript y php, ya lo sabemos, no es nada nuevo amigo, ahora mi pregunta es, ¿Qué fallos ves?, me interesaria que me lo dijeras, para asin solucionarlo.


Para evitar RFI estamos usando str_replace, asin que lo que tú dices es lo que está puesto, es cuestión de fijarse.

Código: Seleccionar todo

$archivo = str_replace(".","",str_replace("http","",$_GET['archivo']));
if(!file_exists($archivo))
{
       die("El archivo no existe");
}
include("./".$archivo.".php");

¿Para que parseas a entero la entrada si luego en el motor sql la tratas como cadena?. Si el parámetro 'id' fuera un string en vez de un entero, ¿tambien lo parsearias a entero? ..

La convierte a entero porque si entra una cadena quedas vulnerable a una inyección sql, osea... Si meten un algo')-- ya con esto quedarías vulnerable a una inyección, jeje pero si la conviertes a entero y luego la tratas como cadena ya no importa si la tratas como cadena porque este entero ya no se vuelve a convertir a una cadena simplemente pasa como número y si la tratas como cadena pues vendría siendo lo mismo jeje :P y si el parametro id tendría que ser una string en vez de un entero tendrías que reemplazar los carácteres especiales de las instrucciones mysql, jeje pero por eso es mucho mejor siempre que tengas una BD, pasar los ID's como enteros, por eso en la mayoría de los sistemas se usa el ID como int(11), key, auto increment fácilita mucho las cosas al momento de buscar un id y trabajar con él.

TheSur escribió:

linkgl escribió:

TheSur escribió:

Skillmax escribió:topcat, será algún fallo en la visión, pero donde se utiliza * aquí estamos utilizando:

Código: Seleccionar todo

$id = (int)$_GET['id'];
$query = mysql_query( "SELECT * FROM noticias WHERE id = '$id'");

Este codigo no permite la entradas tipo "noticias?id=123"

Te equivocas, está inyección para nada a quedado obsoleta y aún la sigo viendo, lo de javascript y php, ya lo sabemos, no es nada nuevo amigo, ahora mi pregunta es, ¿Qué fallos ves?, me interesaria que me lo dijeras, para asin solucionarlo.


Para evitar RFI estamos usando str_replace, asin que lo que tú dices es lo que está puesto, es cuestión de fijarse.

Código: Seleccionar todo

$archivo = str_replace(".","",str_replace("http","",$_GET['archivo']));
if(!file_exists($archivo))
{
       die("El archivo no existe");
}
include("./".$archivo.".php");

¿Para que parseas a entero la entrada si luego en el motor sql la tratas como cadena?. Si el parámetro 'id' fuera un string en vez de un entero, ¿tambien lo parsearias a entero? ..

La convierte a entero porque si entra una cadena quedas vulnerable a una inyección sql, osea... Si meten un algo')-- ya con esto quedarías vulnerable a una inyección, jeje pero si la conviertes a entero y luego la tratas como cadena ya no importa si la tratas como cadena porque este entero ya no se vuelve a convertir a una cadena simplemente pasa como número y si la tratas como cadena pues vendría siendo lo mismo jeje :P y si el parametro id tendría que ser una string en vez de un entero tendrías que reemplazar los carácteres especiales de las instrucciones mysql, jeje pero por eso es mucho mejor siempre que tengas una BD, pasar los ID's como enteros, por eso en la mayoría de los sistemas se usa el ID como int(11), key, auto increment fácilita mucho las cosas al momento de buscar un id y trabajar con él.

Pues va a ser que te equivocas

linkgl escribió:

TheSur escribió:

linkgl escribió:

TheSur escribió:

Skillmax escribió:topcat, será algún fallo en la visión, pero donde se utiliza * aquí estamos utilizando:

Código: Seleccionar todo

$id = (int)$_GET['id'];
$query = mysql_query( "SELECT * FROM noticias WHERE id = '$id'");

Este codigo no permite la entradas tipo "noticias?id=123"

Te equivocas, está inyección para nada a quedado obsoleta y aún la sigo viendo, lo de javascript y php, ya lo sabemos, no es nada nuevo amigo, ahora mi pregunta es, ¿Qué fallos ves?, me interesaria que me lo dijeras, para asin solucionarlo.


Para evitar RFI estamos usando str_replace, asin que lo que tú dices es lo que está puesto, es cuestión de fijarse.

Código: Seleccionar todo

$archivo = str_replace(".","",str_replace("http","",$_GET['archivo']));
if(!file_exists($archivo))
{
       die("El archivo no existe");
}
include("./".$archivo.".php");

¿Para que parseas a entero la entrada si luego en el motor sql la tratas como cadena?. Si el parámetro 'id' fuera un string en vez de un entero, ¿tambien lo parsearias a entero? ..

La convierte a entero porque si entra una cadena quedas vulnerable a una inyección sql, osea... Si meten un algo')-- ya con esto quedarías vulnerable a una inyección, jeje pero si la conviertes a entero y luego la tratas como cadena ya no importa si la tratas como cadena porque este entero ya no se vuelve a convertir a una cadena simplemente pasa como número y si la tratas como cadena pues vendría siendo lo mismo jeje :P y si el parametro id tendría que ser una string en vez de un entero tendrías que reemplazar los carácteres especiales de las instrucciones mysql, jeje pero por eso es mucho mejor siempre que tengas una BD, pasar los ID's como enteros, por eso en la mayoría de los sistemas se usa el ID como int(11), key, auto increment fácilita mucho las cosas al momento de buscar un id y trabajar con él.

Pues va a ser que te equivocas

x) porqué lo dices?, al convertir todas las entradas a enteros evitas caracteres, por ende evitas inyecciones, aunque la mejor manera de filtrar no es convertir lo que llega a enteros, si no validar que sea un número, pero de ambas formas se puede parchear ese GET, y como te digo si yo pongo url.algo?a=' este ' se me convierte a entero (int) por ende si trato su valor ascii como cadena ya no pasa nada :P

linkgl escribió:Ya va, pues resulta que estas mal, parece que no te tomas la libertad de leer la respuesta entera... Mira si necesitas obtener un ID de determinado campo en la base de datos, y si no filtras lo que se pase por GET vas a ser vulnerable

linkgl escribió:si tienes declarada como string el campo en la base de datos (varchar, longtext o como quiera que tengas declarado el tipo de datos de ese campo) si los ID's que tienes son N-M-E-R-I-C-O-S Le tienes que hacer un (int) a lo que se pase por get y despues tratarlo como el tipo de datos que tienes declarado en la BD

linkgl escribió:si skillmax esta haciendolo de esa forma por ende debemos deducir que lo que quiere obtener es un ID NUMERICO que está almacenado en un campo tipo varchar o similar

linkgl escribió:no sabes CUAL es la necesidad de todo programador yo puedo necesitar meter enteros y cadenas en un campo y para esto puedo hacer un campo tipo varchar

linkgl escribió:Pero bueno lo que tu estas haciendo es presumir que el campo esta definido como tipo string y que dentro de ese campo SOLO hay cadenas de textos y no numeros que necesitan tratarse como cadenas de texto

$id = (int)$_GET['id'];
$query = mysql_query( "SELECT * FROM noticias WHERE id = '$id'");

Por GET, POST o cualquier tipo de entrada de datos, ¿no?

¿Y si el tipo de dato está declarado como string y no almacena números?, puede almacenar palabras (Ejpl: Nombres). ¿También los parseas a numéricos?. Me gustaría saber que valor tiene el string linkgl al parsearlo a integer... Debe ser como sentirse apuntando a un puntero a null.

Poca credibilidad me da alguien como skillmax que dice que 'SELECT * FROM' es una sentencia SQL vulnerable. Muestra un desconocimiento total de base. Ni siquiera sabe formar una consulta SQL correcta.

Te vuelvo a responder. El artista que diseña una base de datos así no tiene mucha idea de lo que hace. Además, es una tarea que no debería depender del programador sino de un analista.

No soy yo quién presupone eso. Es Skillmax (y parece que tu también), que es quien dice que para evitar 'todas las inyecciones web' basta con, en inyecciones SQL, utilizar este filtrado:

Código: Seleccionar todo

$id = (int)$_GET['id'];
$query = mysql_query( "SELECT * FROM noticias WHERE id = '$id'");