Chẳng hạn admin muốn tạo thông tin giả rằng chính user đó đã thực hiện thao tác xoá dữ liệu chứ không phải user của admin, trong khi admin không thể đọc hiểu ý nghĩa của các table + field, giá trị chứa trong đó được mã hoá. Trong CSDL lại không có storedproc nào để xoá, mà ứng dụng sẽ gọi nhiều query trực tiếp để xoá (nó lần lượt thực hiện các thao tác kiểm tra, thống kê, backup, xoá, ghi log, update các table khác, ...), lúc này admin chỉ có thể gọi chức năng delete từ ứng dụng vì nếu mò vào 1 table xoá trực tiếp mà không biết cách update các table liên quan thì DB sẽ bị inconsistent. Hiểu chưa nào ? 

Mình đã từng làm 1 hệ thống ứng dụng chạy Oracle có 10000 tables (10 ngàn table, tưởng tượng nổi không ?), có nhiều table mà tên field chỉ có đúng 3 ký tự. Khi ứng dụng chạy 1 thao tác, nếu có trace ra thì nó thực hiện rất nhiều SQL dài, không biết đâu mà lần.

Không phải db nào cũng dễ hiểu như : để xoá một hoá đơn thì gọi thủ tục sp_XoaHoaDon
 

khanhqhi wrote:

Mình nghĩ việc này không cần thiết, vì admin có toàn quyền, muốn làm gì thì làm, muốn login bằng account nào chẳng được. Cần gì change pass làm gì cho mệt.  

Có thể hệ thống rất lớn và admin cũng không nắm được thiết kế đầy đủ. Nếu admin muốn thay đổi dữ liệu dưới danh tính của người khác thì bắt buộc phải login bằng account người khác và thực hiện trên giao diện ứng dụng, chứ không thể chỉ đơn giản mở cái database ra mà insert record mới vào, vì ứng dụng còn làm các công việc liên quan khác khi dữ liệu mới xuất hiện (ví dụ khi mua 1 hoá đơn mới thì ứng dụng không chỉ tạo hoá đơn mà còn phải giảm số lượng mặt hàng, trừ tiền người dùng, giảm bớt 1 hoá đơn, giảm mặt hàng còn lại của 1 hãng, cập nhật lại các thống kê, lưu log thay đổi v.v...). 

hihi cái này có tool đó bạn
bạn có thể dùng Web Admin Finder v2.0 tỉ lệ tìm được link admin tầm 80 -> 90 %
Chúc bạn may mắn  

5. Nội dung "đề tuyển" gồm có mười lăm (15) câu hỏi bao gồm những câu trắc nghiệm chọn lựa (dạng a, b, c, d) và những câu hỏi đòi hỏi thí sinh phải vận động kiến thức và kinh nghiệm để trả lời. Trong mười lăm câu trên sẽ có năm (5) câu chuyên biệt để khảo sát khả năng ứng xử. Nội dung các câu hỏi sẽ trải dài trong 4 tiêu chí chính của HVA đó là: security - designing - hacking - programming. Xin lưu ý designing ở đây là khả năng thiết kế một hệ thống, một giải pháp hoặc một mô hình chớ không là đồ hoạ.  

mình đang chạy code shop php
sau khi check thì mình bị mắc lỗi như sau.

An error occurred
Application error
Exception information:

Message: SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''' at line 1
Stack trace:

#0 /home/chorachg/public_html/library/Zend/Db/Statement.php(284): Zend_Db_Statement_Pdo->_execute(Array)
#1 /home/chorachg/public_html/library/Zend/Db/Adapter/Abstract.php(464): Zend_Db_Statement->execute(Array)
#2 /home/chorachg/public_html/library/Zend/Db/Adapter/Pdo/Abstract.php(232): Zend_Db_Adapter_Abstract->query('SELECT * from c...', Array)
#3 /home/chorachg/public_html/library/Zend/Db/Adapter/Abstract.php(721): Zend_Db_Adapter_Pdo_Abstract->query('SELECT * from c...', Array)
#4 /home/chorachg/public_html/application/models/Category.php(26): Zend_Db_Adapter_Abstract->fetchRow('SELECT * from c...')
#5 /home/chorachg/public_html/application/frontend/sanpham/controllers/DanhmucController.php(16): Category->getCategory('44'')
#6 /home/chorachg/public_html/library/Zend/Controller/Action.php(513): Sanpham_DanhmucController->indexAction()
#7 /home/chorachg/public_html/library/Zend/Controller/Dispatcher/Standard.php(289): Zend_Controller_Action->dispatch('indexAction')
#8 /home/chorachg/public_html/library/Zend/Controller/Front.php(946): Zend_Controller_Dispatcher_Standard->dispatch(Object(Zend_Controller_Request_Http), Object(Zend_Controller_Response_Http))
#9 /home/chorachg/public_html/library/Zend/Application/Bootstrap/Bootstrap.php(77): Zend_Controller_Front->dispatch()
#10 /home/chorachg/public_html/library/Zend/Application.php(335): Zend_Application_Bootstrap_Bootstrap->run()
#11 /home/chorachg/public_html/index.php(33): Zend_Application->run()
#12 {main}

Request Parameters:

array (
'module' => 'sanpham',
'controller' => 'danhmuc',
'action' => 'index',
'code' => 'ky-thuat-so',
'id' => '44\'',
)

 

mình muốn hỏi lý do tại sao bị như vậy và cách khắc phục.cảm ơn các bạn nhiều.

(PHP Ver 5) 

1/ Online :

mình vô Forums & Moderators rùi add child box hay add new box cũng đều hiện lỗi này


Warning: require_once() [function.require-once]: Unable to access [path]/includes/functions_autotaggerfromcontentandtitle.php in [path]/admincp/forum.php(281) : eval()'d code on line 14

Warning: require_once([path]/includes/functions_autotaggerfromcontentandtitle.php) [function.require-once]: failed to open stream: No such file or directory in [path]/admincp/forum.php(281) : eval()'d code on line 14

Fatal error: require_once() [function.require]: Failed opening required '/home/vipteenbac/domains/vipteenbaclieu.net/public_html/9x/includes/functions_autotaggerfromcontentandtitle.php' (include_path='.:/usr/local/lib/php') in /home/vipteenbac/domains/vipteenbaclieu.net/public_html/9x/admincp/forum.php(281) : eval()'d code on line 14


đã xem code nhưng không tìm ra ... mình đã up file admincp/forum.php mới lên cũng bị như trên
2/ Test trên localhost
với localhost ( data + file y chang 4rum online ) thì add bình thường
ai biết cách fix lỗi này thì chỉ giúp em với 

Ikut3 wrote:

Về các vấn đề mà Ikut nêu trên mình có vài thắc mắc:
+ Apply rules chống shell
(Add tất cả các file source Joomla vào 1 white list) và các file .php ở ngoài list sẽ không chạy được
- Cách này theo mình không hay bởi một lẽ nếu website có xài một vài modules, components mới thì mình lại phải add tất cả files vào cái gọi là white list hay sao ? Mà nếu website ko sử dụng joomla mà là một cái tự code thì hơi mệt. 

Ha ha chính xác là mình cũng đã nghĩ vậy và nhận được lí giải sau
"Khi code thêm 1 file .php mới, yêu cầu webmaster phải có report rõ ràng cho người quản trị Server. Như vậy việc thay đổi ngoài việc được check bởi người code còn được quản trị check thêm 1 lần nữa rồi mới đưa nó vào white list để khởi chạy". Nghe có vẻ hơi cầu kì và phức tạp nhưng khi tiến hành mình thấy không nặng nề hay mất thời gian gì nhiều.

Thân ! 

thế nếu mà cu webmaster này muốn tấn công các site khác cùng server sẽ thay cái file php được khai báo hợp pháp bằng con shell để tấn công sang site khác thì sao? tấn công song lại edit về nội dung bạn đầu của file hợp pháp, vậy anh sẽ làm gì? 

anh gamma95 wrote:

Bản chất của việc chống local hack không phải là Disable Functions. Bởi đơn giản khi disable các functions sẽ gặp khó khăn trong việc code php cũng như thực thi nó  

Bạn thử sử dụng Mod Security + Phân Quyền USer + Phân quyền Group xem sao 

Giải pháp bạn đưa ra khá flexible , nhưng bạn lại chưa hiểu vấn đề chính mà tôi muốn đưa ra. Thay đổi user_auth chỉ là 1 ví dụ nhỏ, như bạn đã nêu, tính toàn vẹn phải được giữ để nếu có bị thay đổi username hoặc password thì cũng không thể chiếm được tài khoản cấp cao.

Ví dụ như tôi thấy forum hva có tài khoản tên là quanlytruong. Nếu ngày nào đó MySQL bị lỗi có thể bị khai thác. Với cấu trúc database của JForum thì hoàn toàn có thể chiến tài khoản cấp cao đó để phá hoại forum. Vậy người modify JFroum cho HVA có đảm bảo được tính toàn vẹn đó không?