Mysql injectie steeds

Status
Niet open voor verdere reacties.
J

JonasRetro

Gebruiker
Lid geworden
29 okt 2012
Berichten
159
Hallo mensen
Mijn vriend zijn fansite word heel vaak gehacked
Ze veranderen pw door Mysql injectie
En dan Hacked, en linken ze door naar hun eigen site
Dus ik wil er graag wat over leren
zeker hoe je dit kan fixen
en ook een beetje hoe dit werkt want dan kan ik het testen op alle pagina's van zijn site
en zo overal proberen oplossen

ik denk dat het via nieuws is
http://*****/index.php?url=news&id=5
De kolum die ze hacken is users
Hoe doen ze dat dan en hoe kan ik het fixen?
heb ff url onduidelijk gemaakt want stel dat iemand dit leest en weer hackt
Zeg me wat je nodig hebt bv news.php file
 
Laatst bewerkt:
Zeker een Retro Hotel?

Gebruik mysqli_real_escape_string()
 
Hij heeft een CMS geidt van RH to fansite
want hij moet zelf niet veel weten van Retro's
Even proberen

Ps: Hij heeft Mysql hij zal wel editen :p
Bedankt voor je reactie
 
Laatst bewerkt:
Hij vraagt mij nu ofdat die mysql_fetch_object() moet changen naar mysql_real_escape_string()

Hier zijn nieuws.php file
Bekijk bijlage Nieuws.zip
exploit1.png
Dit is met exploit scanner gescant
(Hij heeft RevCMS geidt to zijn fansiteCMS :p)
 
Laatst bewerkt:
bedankt voor je reactie
ik stuur het ff door naar hem

--------------------------
Edit hij reageerde:

Sorry maar dat begrijp ik niet echt
Maar ik wil alleen de exploit fixen
 
Laatst bewerkt:
Als hij het beveiliging lek wil dichten zal hij echt moeten leren hoe dat moet. Daarom de twee links ook. Daar kan hij in lezen hoe hij dat kan doen.
 
kunnen we eens afspreken op de chat breng in kaart hoeveel variabelen je ongeveer kan hebben op scripts die ze best niet bereiken

bekijk dit al eens voor je htaccess let op bij mij is het een bestand dat je globaal op verschillende domeinen kan gebruiken dus werk ook op je subs indien je deze naar dezelfde stuurt nu mogelijks moet je aanpassingen doen

Code: 
RewriteRule ^([A-Za-z0-9\.]+)/([A-Za-z0-9]+)/$ $1/index.php?pad=$2

bovenstaande code zal hinderen bij get en zo je systeem beveiligen zo kan je zelf de toegelaten chars bepalen let op voor img

ps om hulp te krijgen had ik op out of range iets meer comentaar gehad omdat het niet zo moeilijke zou moeten zijn fair is fair
 
Laatst bewerkt:
Bedankt voor je bericht en Sorry mijn late reactie
Hij heeft IIS, dus geen .htcasses
IIS heeft web.config
Dat op de chat is een goed ideee
 
Status
Niet open voor verdere reacties.
Steun Ons

Nieuwste berichten

Terug
Bovenaan Onderaan