Cross-Site Scripting уязвимость

[Manga]

Вот что мне написали:

"я нашёл ещё одну Cross-Site Scripting уязвимость на вашем сайте.

XSS:


21.11.2006

http://mysite/modules/mycatalog/rate...)%3C/script%3E

http://mysite/modules/mycatalog/rate...22%3Cscript%20

[Michael-XIII]

Где то вначале этого файла написать что-то типа

$lid= (int)$_GET['lid'];

Фикс за 30 секунд

[AlexLeonov]

$lid= intval($_GET['lid']);

приведение типов, насколько я помню, не в каждой версии PHP сработает. Или нет?

[Usama]

Файл ratecatalog в модуле mycatalog

Сделал подругому проверку на наличие лишнего в lid
После примерно 25-26 строка
$anonwaitdays = 1;
$ip = _REMOTE_ADDR;
оставляем
$lid = int($HTTP_POST_VARS['lid']); или то что ребята выше предлагали, теперь самое главное:

Ищем
78-80 строка
exit();

} else {
include_once(XOOPS_ROOT_PATH."/header.php");

После вставляем:
if (!ctype_digit($lid)) {
echo "Ваша попытка взломать сайт записана. Данные отправлены админимстратору для обращения в отдел безопастности.<br>";
echo"Ваш IP адрес:";
echo _REMOTE_ADDR;
break;
}

Усе вот вся проверка на всякие уязвимости. теперь доступно обращение будет только по числу... которое соответвует номеру предприятия.
Подобная уязвимость возможна и в mylinks
Потвердилось в mylinks тоже есть такая фигня...
делаем тоже что и с mycatalog только в файле ratelink.php

[Manga]

После
$anonwaitdays = 1;
$ip = _REMOTE_ADDR;

Должно стоять
$lid = int($HTTP_POST_VARS['lid']);

Так?

[Manga]

Usama Такая же вставка в файл ratelink дает на каждое честное голосование "Ваша попытка взломать сайт записана. Данные отправлены админимстратору для обращения в отдел безопастности."

[Usama]

На самом деле вся проблема заключается в форме которая формируется при выводе..
Где написано
<input type="hidden" name="lid" value="<?php echo $lid;?>">
Засчет этого кода и выводится хэш и все остальное используя разорванный джава скрипт.
Впринципе я смотрел только на реализацию mylinks/

[LARK]

Сообщение от Usama $lid = int($HTTP_POST_VARS['lid']);

Что это за функция?

Сообщение от Usama Усе вот вся проверка на всякие уязвимости. теперь доступно обращение будет только по числу... которое соответвует номеру предприятия.

Зачем так? Проблема то не в Пост, а в Гет, но что ты сам и ответил:

Сообщение от Usama На самом деле вся проблема заключается в форме которая формируется при выводе..

Соответственно лечится

PHP код:

<input type="hidden" name="lid" value="<?php echo intval($lid);?>">

К слову, в mycatalog есть и еще дырки, закрытые в mylinks

P.S. Usama я пока не одобрил твою новость, по указанным выше причинам.

[Usama]

Пересмотрю... думаю стоит вообще изменить весь каталог предприятий...

[HDMan]

как вы думате
было-бы уместно в связи с вышесказнным заменить все
$HTTP_POST_VARS
$HTTP_GET_VARS
$_GET
$_POST

на $_REQUEST

дабы избежать подобных накладок с другими переменными

или может быть было-бы уместно "обнулить" в common.php наиболее используемые переменные.

первый вариант мне кажится наиболее подходящим.