Thread: Tester gesucht! - Script PHP MySQL Sicherheit und Funktion prüfen! CyDots

Aktueller Status:
[X] Sicherheit von 'fancy' was ja auch den Dateinamen bestimmt (kein verstecktes Formularfeld mehr)
[X] Nicht-vorhanden-sein der Datei 'agb.php' behoben
[X] <a href='impressum.php>
[X] AGB (Nutzungsbedingungen) müssen akzeptiert werden
[X] HTML Code in Beschreibung (BEDARF NOCH EINER HARTEN PROBE ;-) )
[X] Formular zum Melden von Datei (Verbesserungen daran erwartet) - Captcha fehlt
[X] Hochladen nicht-existenter Dateien mit 0 byte (Fehlermeldung wird angezeigt!)
[X] Verwirrung bei Remote Upload in der Infobox

[_] Löschlink

Wie sieht es denn aus - ist es noch wem gelungen Code in die Beschreibung einzuschleusen? oder Dateien auf dem Server auszuführen?

Hat schon jemand eine SQL-Injection probiert? DELETE FROM * funzte net, aber vermutlich kann man diesen Befehl so auch gar nicht benutzen. Ich hab 0 Ahnung von SQL   

mfg,
Cemper

So eine Injection wie du es versucht hast, geht mit mySQL auch nicht. Weil man nich mehrere Statements auf einmal mit mySQL senden kann.
Das geht nur mit msSQL.

Viel kann man da also nicht "Injecten". Immer schön mit mysql_real_escape_string() arbeiten, dann is auch alles tutti.

Mach einfach truncate tabelle   

.. und hat Jemand MySQL Änderungen vornehmen können?

Neuerung:
Dateien auf Server haben nicht mehr die Download ID als Dateinamen sondern eine andere zufällige Zahlen/Buchstaben Komination, was den Zugriff ohne das Script nun komplett verhindert. - apropo ID besteht jetzt aus Ziffern und Buchstaben.

Kann es sein, dass du ein paar Probleme bei ebay hast, winterzeit210760?   
Ich würde mich mal um die Datensicherheit kümmern. Das Verzeichnis ist immer noch ungeschützt und das Dateiformat ist auch schnell gefunden (Office Open XML)...

Hast du deine Lautsprecher inzwischen bekommen?

Besser? .. und klar dass die verschiedenen Random Namen nicht bei der Datei im Ordner greifen ;-)

ich sag nur "Neues Textdokument"...
und du solltest die Unterverzeichnisse auch noch schützen

MfG pimpinNuP

geht doch ;)