Citaat van LaereshFerhat niet, heb ik op MSN dan zou die allang bij me hebben lopen slijmen met z'n prestatie.
Tevens heeft hij de skills er niet voor
Waren we het er niet over eens dat je voor een (simpele) ddos attack geen skills nodig hebt?
Het enige wat je nodig hebt is een computer (makkelijk), een programma en een of andere motivatie (zielig zijn?)
naam !== id
http://wiki.greasespot.net/Cod…e_metadata_key_.40require
http://docs.jquery.com/Selecto…buteEquals#attributevalue
verder een uitgebreidere functie:
function addText(id, wrap1, wrap2) {
if (document.selection) { // for IE
var str = document.selection.createRange().text;
document.getElementById(id).focus();
var sel = document.selection.createRange();
sel.text = wrap1 + str + wrap2;
return;
} else if ((typeof document.getElementById(id).selectionStart) != 'undefined') { // for Mozilla
var txtarea = document.getElementById(id);
var selLength = txtarea.textLength;
var selStart = txtarea.selectionStart;
var selEnd = txtarea.selectionEnd;
var oldScrollTop = txtarea.scrollTop;
//if (selEnd == 1 || selEnd == 2)
//selEnd = selLength;
var s1 = (txtarea.value).substring(0,selStart);
var s2 = (txtarea.value).substring(selStart, selEnd)
var s3 = (txtarea.value).substring(selEnd, selLength);
txtarea.value = s1 + wrap1 + s2 + wrap2 + s3;
txtarea.selectionStart = s1.length;
txtarea.selectionEnd = s1.length + s2.length + wrap1.length + wrap2.length;
txtarea.scrollTop = oldScrollTop;
txtarea.focus();
return;
} else {
insertText(foname, elname, wrap1 + wrap2);
}
}
function insertText(id, what) {
if (document.getElementById(id).createTextRange) {
document.getElementById(id).focus();
document.selection.createRange().duplicate().text = what;
} else if ((typeof document.getElementById(id).selectionStart) != 'undefined') { // for Mozilla
var tarea = document.getElementById(id);
var selEnd = tarea.selectionEnd;
var txtLen = tarea.value.length;
var txtbefore = tarea.value.substring(0,selEnd);
var txtafter = tarea.value.substring(selEnd, txtLen);
var oldScrollTop = tarea.scrollTop;
tarea.value = txtbefore + what + txtafter;
tarea.selectionStart = txtbefore.length + what.length;
tarea.selectionEnd = txtbefore.length + what.length;
tarea.scrollTop = oldScrollTop;
tarea.focus();
} else {
document.getElementById(id).value += what;
document.getElementById(id).focus();
}
}aangezien greasemonkey voor FF is kun je de code voor andere browsers wegstrippen...
Hopelijk heb ik je op een idee gebracht...
Citaat van werty9021Kijk eens naar de functie date.
PHP<?php if (date('G') > 12 AND date('G') < 13) { echo 'a'; // zal nooit uitgevoerd worden voor zover ik weet } else { echo 'b'; }
bijna...
if(date('G') == 12)
{
echo 'a';
}
else
{
echo 'b';
}Citaat van NielsBDaarom beveilig ik het ook met (int) maar ja waarschijnlijk zullen jullie wel weer denken slecht..
Maar ja het is op de manier hoe je het gebruikt he.
Gebruik je double of gebruik je int etc.
Dat is niet slecht...
Maar je vergat het te vertellen...
Als je het niet zou dan dan zou het wel slecht zijn ja...
var_dump(is_numeric('-192.8E-7')); // TRUE
var_dump(ctype_digit('-192.8E-7')); // FALSE
var_dump((int) '-192.8E7'); // -192
var_dump(-192.8E7); // -1.928*10^9 (er groot, en ja, MySQL leest het ook zo)
wat leuk!
is_numeric laat het door...
en als je dan vergeet die waarde naar een int te typecasten dan krijg je problemen...
terwijl ctype_digit alleen maar 0-9 door laat (ook alleen maar een string trouwens)
http://php.net/mysql_fetch_object
Zie het kopje "Return values"
Of een object... of FALSE als de rij niet bestaat...
Met andere woorden, de gebruiker bestaat niet...
- Met welke beveiligings fouten was jij bekend?
Allemaal
- Wat gebruik jij?
goede controlles (hoop ik :p)
- Hoe voorkom jij dit?
foutafhandeling bij de controlles
- Wat is je ondernomen actie?
dit bericht typen
- Heb jij je coding aangepast na dit bericht?
nee, dit ga ik nog wel doen, maar niet naar aanleiding van dit bericht
Verder is die exploit die ik je laatst geleerd hebt een voorbeeld van CSRF (Cross Site Request Forgery), en dit is niet het zelfde als wat Pim heeft gedaan.
je mist $bres->execute(); ?
*heeft geen enkel verstand van greasemonkey*
http://wiki.greasespot.net/DOMContentLoaded
*houd van wiki's*
verder denk ik (houd er rekening mee dat ik niets van greasemonkey af weet) dat de volgende link ook wel handig kan zijn
http://wiki.greasespot.net/Metadata_block#.40include
die $iets kan van alles zijn...
voorbeeldje:
if($data->level == 100 OR $data->level == 255 OR $data->level == 1000) // kan korter, namelijk:
if(in_array($data->level, array(100, 255, 1000)))https://services.google.com/fb/forms/wavesignup/
Daar kan je jezelf aanmelden?
Dat heb ik net in elk geval gedaan...
$query = "DELETE FROM `news` WHERE `id`='".mysql_real_escape_string($_POST['radio'])."'";
dat is de query die je wilt.
De link klopt niet...
******?gc=editprofile&prof=friends&del=2
En wat krijg ik te zien nadat ik jou eerst als vriend had toegevoeg:
CitaatThis user is no longer a friend of you!
Dus verander die link!
(en ga via POST werken)
De link: '?gc=editprofile&delete='.$friend['id']
De voorwaarden die moeten kloppen om bij het delete gedeelte te komen:
$_GET['prof'] == "friends"
isset($_GET['delete'])
mysql_num_rows($mysql) >= 1 (let op, met deze voorwaarde word de else uitgevoerd)
Waar is het prof=friends gedeelte in de link?
Wat zou er (in theorie) gebeuren als ik het volgende in het forum zou neer zetten?
[img]?gc=editprofile&delete=1&prof=friends[/img]Citaat van r-mulderNog gefeliciteerd!
Ben 21 juni jarig :p
Precies een maand eerder dan wanneer ik jarig ben!
En ik ben weer precies een maand ouder dan Anton...
PS. Smil-E, het hangt maar van je defenitie van het woord "net" af denk ik...
Plaats het script eens om plaatscode.be of een soortgelijke site?
1) mysql_real_escape_string() en addslashes() is dubbel, dus onnodig (en dom als je het mij vraagt)
2) htmlspecialchars() gebruik je pas wanneer je iets wilt echoen/printen dus niet wanneer je iets in de database wilt zetten
3)
') or die(mysql_error())");moet
'") or die(mysql_error());worden
4) alleen mysql_real_escape_string() is het enige wat je in deze situatie wilt gebruiken
Verder zou je mysqli/PDO kunnen gebruiken en waardes kunnen binden (zoek naar een functie met "bind" in de naam).
Dan hoef jij het zelf niet meer te beveiligen.
$query = mysql_query('SELECT SUM(`auto`)+SUM(`scooter`)+SUM(`uzi`)+SUM(`ak47`) AS `count` FROM `[users]`');
$fetch = mysql_fetch_assoc($query);
$count = number_format($fetch['count'], 0, ',', '.');Zoiets zou moeten werken...
En hier is je huiswerkt: http://phphulp.nl/php/tutorials/3/521/1295/