Reklamní systém chce abych vložil.php soubor na svůj web

4. 8. 2015 10:23:24

Dobrý den,

reklamní systém seolinker.cz chce abych na svůj web vložil jejich. php soubor.

Bojím se však aby ten skript neumožnil nějaké zneužití z jejich strany nebo ze strany útočníka, který bude znát adresu skriptu.

4. 8. 2015 10:23:24

https://webtrh.cz/diskuse/reklamni-system-chce-abych-vlozil-php-soubor-na-svuj-web/#reply1131139

Fido123

(13 hodnocení)

4. 8. 2015 10:31:01

Server-side kód reklamního systému bych si na web v životě nedal.

4. 8. 2015 10:31:01

https://webtrh.cz/diskuse/reklamni-system-chce-abych-vlozil-php-soubor-na-svuj-web/#reply1131138

Jan Kouba

4. 8. 2015 10:44:14

Ano, server side kód pro reklamy nikdy!

Kód vytváří soubor seolink.links.db se všemi navštívenými adresami, ip adresami klientů, soubor je volně přístupy z webu, pokud přístup sám nezakážeš. Tyhle všechny údaje to posílá při každém požadavku k sobě. Dochází k vyzrazení všech GET požadavků vč. možných citlivých údajů. Pokud web seolinkeru nebude dostupný, zdrží se načtení tvého webu o 6 vteřin, jinak je zdržení v řádu desítek až stovek ms, což je hodně.

Za mě nedoporučuji, tohle se nedělá, jedná se o díru do systému a vyzrazení citlivých údajů ven třetí osobě, která pro mě není důvěryhodná.

4. 8. 2015 10:44:14

https://webtrh.cz/diskuse/reklamni-system-chce-abych-vlozil-php-soubor-na-svuj-web/#reply1131137

Martin Schlemmer

(37 hodnocení)

4. 8. 2015 11:17:43

Jak vypadá kód, kterým se to volá?

Jan Kouba: V souboru seolink.links.db nejsou "všechny navštívené adresy a IP adresy klientů", je tam seznam odkazů, které se mají zobrazovat na stránce, text před a za odkazy a nějaké řídící informace, např. IP adresy robota, který kontroluje odkazy a vidí víc informací.

Máte nicméně pravdu, že soubor může být veřejně přístupný a autor třídy doporučuje nastavit adresáři i souboru masku práv 0777, tedy otevřeno všem.

4. 8. 2015 11:17:43

https://webtrh.cz/diskuse/reklamni-system-chce-abych-vlozil-php-soubor-na-svuj-web/#reply1131136

alex93

(70 hodnocení)

4. 8. 2015 11:27:36

Napsal postcd;1215110
Dobrý den,

reklamní systém seolinker.cz chce abych na svůj web vložil jejich. php soubor.

.PHP kód: http://pastebin.com/E7Sj4A7A

Bojím se však aby ten skript neumožnil nějaké zneužití z jejich strany nebo ze strany útočníka, který bude znát adresu skriptu.

Tak jako tak to není žádná pecka, potlačení php hlášek a potom chmod 777 tedy backdoor, viz:Martin Schlemmer spíše nařizuje na 777.

Řešení by mělo vypadat malinko jinak, tohle je trochu bizár :)

4. 8. 2015 11:27:36

https://webtrh.cz/diskuse/reklamni-system-chce-abych-vlozil-php-soubor-na-svuj-web/#reply1131135

Jan Kouba

4. 8. 2015 12:26:40

Martin Schlemmer: ano, máš pravdu, neukládají se tam adresy, ty se jen posílají :), vzal jsem to moc hopem. Každopádně obsah toho souboru se tahá externě, může tam být cokoliv a neošetřené se to zobrazuje na stránce, to je ještě horší, než jsem si myslel...

4. 8. 2015 12:26:40

https://webtrh.cz/diskuse/reklamni-system-chce-abych-vlozil-php-soubor-na-svuj-web/#reply1131134

Martin Schlemmer

(37 hodnocení)

4. 8. 2015 13:55:19