Ankündigung

Einklappen
Keine Ankündigung bisher.

[Erledigt] Variablen auf Fremde Webseiten herausfinden ?!

Einklappen

Neue Werbung 2019

Einklappen
X
  • Filter
  • Zeit
  • Anzeigen
Alles löschen
neue Beiträge

  • [Erledigt] Variablen auf Fremde Webseiten herausfinden ?!

    Hallo

    Habe eine allgemeine Frage..

    Angenommen ich besuche eine Webseite mit Login-Formular oder ein anderes Formular.
    Sobald ich die Daten eingetragen habe, werden die Werte durch irgendwelche Variablen an die DB geschickt.

    Frage:

    1. Besteht irgendwie die Möglichkeit herauszufinden, wie die Variablen heissen ?
    2. Besteht die Möglichkeit irgendwas über die Datenbank in Erfahrung zu bringen ?

    Ich würde sagen.. nein und nochmals nein.

    Gruß
    Aaron

  • #2
    1.) Der Name dieser Variablen bzw der Key des $_POST oder $_GET Arrays lautet so, wie er im "name" Attribut des Eingabefeldes im Formular definiert wurde.
    Bsp:
    Code:
    <input type="text" name="dein_variablenname" />
    2.) Natürlich kann man etwas über die DB in Erfahrung bringen, fragt sich nur was du darüber wissen möchtest

    //edit:
    Sorry, hab übersehen, dass es sich um ein fremdes Script handelt

    Kommentar


    • #3
      richtig!
      denn dein browser bekommt nie php zu gesicht sondern nur html .. du frägst zwar eine php-seite an, der server verarbeitet die phpanweisungen aber in html, und dieses html bekommst du dann ausgegeben!

      Kommentar


      • #4
        Die Namen der Formularelemente kannst Du Dir natürlich ansehen; das sind dann auch die Namen der übermittelten Parameter.
        Was danach auf dem Server passiert, siehst Du (ohne Fehlkonfiguration) nicht.

        Kommentar


        • #5
          Zitat von Froali
          1.) Der Name dieser Variablen bzw der Key des $_POST oder $_GET Arrays lautet so, wie er im "name" Attribut des Eingabefeldes im Formular definiert wurde.
          Bsp:
          Code:
          <input type="text" name="dein_variablenname" />
          2.) Nat�rlich kann man etwas �ber die DB in Erfahrung bringen, fragt sich nur was du dar�ber wissen m�chtest
          sry4doppelpost

          schon richtig, aber er kann ja bsp. $_POST['dein_variablenname'] auch in $hans umschreiben .. und mit der dann weiterarbeiten

          Kommentar


          • #6
            Hallo

            Danke für die schnelle Antwort..

            Die meisten Scripte verwenden post statt get.. kann ich auch trotz post irgendwie die variable überschreiben ?

            Bei get brauche ich nur in der Adresszeile den Wert zu ändern .. aber wie ist das bei post ?

            Gruß
            Aaron

            Kommentar


            • #7
              Zitat von aaron_k
              Bei get brauche ich nur in der Adresszeile den Wert zu ändern .. aber wie ist das bei post ?
              Z.B. eigenes Formular erstellen und an besagte Adresse senden!

              Es gibt aber glaube ich auch ein Tool für Firefox mit dem man sich solche Scherze erlauben kann [Formular hinzufügen, Hidden-Felder ändern, etc.]. Kannst ja mal suchen.

              Kommentar


              • #8
                Auch POST ist keine Magie. Natürlich können da nahezu beliebige Werte übergeben werden.
                Wenn die Frage darauf hinausläuft, ob POST sicher ist und Du daher auf weitere Tests verzichten kannst: Nein, sämtliche Benutzereingaben müssen unabhängig von der Übertragnugsmethode mit der gleichen Sorgfalt geprüft werden.

                Kommentar


                • #9
                  @karl-150: "eigenes Formular erstellen und an besagte Adresse senden!"
                  Gute Idee

                  @Bruchpilot: Die Frage habe ich mir gestellt, nachdem ich von ein paar Stunden etwas über SQL Injection gelesen habe. Daher wollte ich wissen, in wie weit ein böser Mensch Informationen über meine Seite in Erfahrung bringen kann.

                  Nachtrag:
                  Abgesehen von den Variablen braucht der Angreifer Informationen über die Datenbank. Daher wollte ich auch wissen, in wie weit man etwas über die Datenbank erfahren kann.

                  Kommentar


                  • #10
                    Man probiert einfach die Standardsachen aus und freut sich dann 'nen Keks

                    Lücke ist Lücke und security by obscurity ist keine Ausrede für richtige Parameterbehandlung.

                    Kommentar


                    • #11
                      aaron_k du kleines Scriptkiddie "...hab gelesen...hacken...will auch....natürlich nur testen...." :P

                      Kommentar


                      • #12
                        Zum Thema Websicherheit hab ich mal nen nettes Buch gelesen, das ich wärmstens Empfehlen kann: Sicherheitsrisiko Web-Anwendung

                        Informationen zur Datenbank kann man auch durch provozieren von Fehlern sammeln. Solange der Programmierer die Fehlermeldungen nicht abfängt, ist das garnicht mal so schwierig ^^

                        Kommentar

                        Lädt...
                        X