Opened by havi at 2003-09-11 23:56
User since
2006-03-29
1520 Artikel
BenutzerIn
2006-03-29
1520 Artikel
BenutzerIn
[quote=betterworld,24.April.2006, 00:45]
Um das jetzt zu exploiten, muessten wir uns nur mit dem Namen "betterworld\n" registrieren, irgend ein Passwort setzen. Dann melden wir uns als "betterworld" an und geben das Passwort von "betterworld\n" an. ("betterworld" war schon vorher ein existenter Account, den wir gerne hijacken moechten.)[/quote]
Irgendwie verstehe ich deine Sichtweise nicht so ganz.
Wenn ich, ebenfalls mit einer Regex, überprüfe ob der Benutzer Bereits existiert, dann kann ich kein Benutzer "betterworld\n" anlegen, da es ja das selbe wäre wie "betterworld". Und ich würde eine Meldung bekommen das der benutzer bereits existiert.
Und sagen wir mal man unterscheidet das registrieren mit einem "\n". Dann sehe ich da immer noch keine Probleme. Da es nun in der Datenbank 2 Benutzer gibt. Einmal "betterworld" und einmal "betterworld\n". Wenn ich mein SQL Query dann abschicke hole ich mir entweder das Passwort von "betterworld" oder "betterworld\n", dass jeweils ein unterschiedliches Passwort wäre. Ich könnte also auch nicht das Passwort von "betterworld\n" benutzen um mich mit "betterworld" einloggen.
Zum anderen muss ich auch gar nicht irgendein Benutzername vergleichen. Warum auch? Den Benutzername brauche ich lediglich um das Passwort zu holen, und ich vergleiche danach das Passwort.
Zum anderen sollte es aber Generell ungewollt sein, wenn \n auf einer Website zu den akzeptierten zeichen gehört. Solche Zeichen sollte man bei der Eingabe eigentlich nicht erlauben.
Naja, Gott sei dank Programmieren wir hier nicht mit Python, und wir können selber entscheiden was wir für leserlicher finden, und was nicht. Das dass "{" noch auf der selben Zeile steht wie das if, for, while konnte ich mich noch nie mit anfreunden. Wenn andere es leserlicher finden, dann hindert sie ja keiner daran es zu benutzen.\n\n
<!--EDIT|sid burn|1145869686-->
Code: (dl
)
1
2
3
4
5
6
7
8
my ($given_login, $given_pw) = ($query->{l}, $query->{p});
for (@users) {
if ($_->{login} =~ m{^\Q$given_login\E$} and
$_->{pw} =~ m{^\Q$given_pw\E$}) {
$logged_in_as = $given_login;
last;
}
}Um das jetzt zu exploiten, muessten wir uns nur mit dem Namen "betterworld\n" registrieren, irgend ein Passwort setzen. Dann melden wir uns als "betterworld" an und geben das Passwort von "betterworld\n" an. ("betterworld" war schon vorher ein existenter Account, den wir gerne hijacken moechten.)[/quote]
Irgendwie verstehe ich deine Sichtweise nicht so ganz.
Wenn ich, ebenfalls mit einer Regex, überprüfe ob der Benutzer Bereits existiert, dann kann ich kein Benutzer "betterworld\n" anlegen, da es ja das selbe wäre wie "betterworld". Und ich würde eine Meldung bekommen das der benutzer bereits existiert.
Und sagen wir mal man unterscheidet das registrieren mit einem "\n". Dann sehe ich da immer noch keine Probleme. Da es nun in der Datenbank 2 Benutzer gibt. Einmal "betterworld" und einmal "betterworld\n". Wenn ich mein SQL Query dann abschicke hole ich mir entweder das Passwort von "betterworld" oder "betterworld\n", dass jeweils ein unterschiedliches Passwort wäre. Ich könnte also auch nicht das Passwort von "betterworld\n" benutzen um mich mit "betterworld" einloggen.
Zum anderen muss ich auch gar nicht irgendein Benutzername vergleichen. Warum auch? Den Benutzername brauche ich lediglich um das Passwort zu holen, und ich vergleiche danach das Passwort.
Zum anderen sollte es aber Generell ungewollt sein, wenn \n auf einer Website zu den akzeptierten zeichen gehört. Solche Zeichen sollte man bei der Eingabe eigentlich nicht erlauben.
Quote[/quote]Master, das ist häßlich, ich darf mich mal zitieren?
[quote=Crian,11.09.2003, 21:57]Nummer 1 - siehe perlstyle ^^
Naja, Gott sei dank Programmieren wir hier nicht mit Python, und wir können selber entscheiden was wir für leserlicher finden, und was nicht. Das dass "{" noch auf der selben Zeile steht wie das if, for, while konnte ich mich noch nie mit anfreunden. Wenn andere es leserlicher finden, dann hindert sie ja keiner daran es zu benutzen.\n\n
<!--EDIT|sid burn|1145869686-->
Nicht mehr aktiv. Bei Kontakt: ICQ: 404181669 E-Mail: perl@david-raab.de