Есть отличная идея как обезопасить форум

[Thorn]

Всем приветы,

у менгя такая идея - посколько если в ИБП и находят дыры (очень редно, ОЧЕНЬ... но бывает) - дыры восновном сводяться к краже кукисов админа (через яваскрипт.. ну атм или XSS я точно незнаю как правильно назватт, я не кул_хацкер ).

Так вот - почему бы не сделать такой скрипт:

так как даже если дыра находиться, то работает примерно так:

составляеться сообщение, в нем разными методами но как-то запускают ява-скрипт (например баг со спаренными тегами). так вот - в любом случае запись кода ява-скрипта лежит в БД. Поэтому можно сделать такой скрипт (и повесить на крон... если нету крона - то хостинг безслатный и соотвественно о безопасности там можно и не думать):

поиск в БД в постах, названиях топиков и подписях (именах и т.п) юзеров нестандартных записей.... ну или хотя бы совпадение типа '<script' и сделать запуск скрипта раз в 10 минут. Нагрузки большой это не вызовит, а вот вредоносный код будет удаляться (аа ну да - при нахождении такой бяки - делать делит этого поста, или заменять).

НО может быть я что-то не так понял? я сегодня весь день на работе вкалывал, невероятный завал был, так что может у меня мозги плавяться?

хотя возникает вопрос - что если протсо написать в посте <script>alret('got you;);</script> (ну или как там он правильно выглядит ;() )... то будут делититься ни в чем неповинные топики?

Хотя тогда можно пойти дальше и делать обработку таких сообщений в момент постинга и заносить их в базу не как '<script....' a kak '<script> '...Вообщем если я сейчас говорю бред - удалите топик, пожалуйста )

До встречи

[Mitos]

перелопачивать ВСЮ таблицу постов каждые 10 мин , ты думаешь это не вызовет большой нагрузки ??? Не ну если на форуме мало сообщений то да - всё будет нормуль , а если много ... ?

Хотя тогда можно пойти дальше и делать обработку таких сообщений в момент постинга и заносить их в базу не как '<script....' a kak '<script> '...

это более логично , но ... это не защитит от возможных sql иньекций ?

[Thorn]

от SQL иньекций можно сделать простой код типа (может опять же неправильно пишу, но смысл ясен):

$queryString = strtolower($_SERVER['QUERY_STRING']);

if (stripos_clone($queryString,'%20union%20') OR stripos_clone($queryString,'/*') OR stripos_clone($queryString,'*/union/*')) {

header("Location: ../error404.html");

die();

}

но это примитив против кулхацкеров, начитавшихся античат.ру

[arigoda]

Thorn, не проще ли под админской учеткой просто не сидеть на форуме?

[Thorn]

а как модерировать? нет ты что, это не вариант..

[arigoda]

Thorn, первый раз слышу, что модерирование и администрирование взаимосвязаны )) Ладно, это наверное уже оффтоп...

 

А по теме - это, кажется, уже когда-то давно обсуждалось и в ФАКе есть что-то такое....

[Dekker]

господа, есть тема

Как защитить форум от взлома?

 

почему не там общаемся ?