ต่อไป »

[tionline]

ผมพยายามหาสาเหตุอยู่ก็ยังไม่รู้เลยว่าเค้าเข้ามาแฮกผมได้ยัง ลักษณะเค้า insert data เข้าไปโดยไม่ได้ผ่านหน้าเว็บ แต่โชคยังดีที่ไม่ได้ลบข้อมูลออกไป แต่ที่เศร้าใจคือไม่รู้จะหาทางป้องกันได้ยังไง


เป็นเว็บที่ผมเพิ่งทำเสร็จครับ

โค๊ด:

http://www.fakfun.com/

ขอความช่วยท่านผู้รู้หน่อยครับ ขอคุณครับ

[guzzilar]

ตรงไหนที่มีปัญหาครับ? แล้วระบบนี่เขียนขึ้นเองทั้งหมดเลยหรือปล่าวครับ?

ps.ทางป้องกัน ก็เช็คตรงสคริปที่จะรับค่าเข้าไปเก็บในฐานข้อมูลอะครับ แล้วออกแบบ/เขียนให้มันรอบคอบ+รัดกุมกว่านี้ : )
ps2.อ้อ อย่าลืมเช็คสคริปตรงที่ล๊อคอินเข้าแอดมินด้วยนะครับ ปรับให้มันรัดกุมขึ้น (มีการเช็ค / ตรวจสอบที่แน่นอนและดีขึ้น)

[มาส่องมาลอง]

   โดนแบบใหนครับ ดูแล้วยัง งง 

[Lost Way]

เล่าอาการมาไม่เคลียร์

[moshikub1]

โดนสแปมใช่มิครับ

[tionline]

เค้าใส่ข้อมูล ... ซึ่งไปเช็คใน database แล้ว ไม่ได้มาจาก user ที่สมัครผ่านทางหน้าเว็บ

เว็บผมเขียนเองทั้งหมดครับ

[NEO999]

แล้วเข้าได้ยังไงหว่า ถ้าไม่สมัครสมาชิก  ... งง เหมือนกัน แหะๆๆๆ

[tionline]

แล้วเข้าได้ยังไงหว่า ถ้าไม่สมัครสมาชิก  ... งง เหมือนกัน แหะๆๆๆ

นี่แหละที่ผมงง

[Fantasier]

โดน inject มั้งครับ (มั่ว)
 

ระวังเวลาใส่เช็คพวก password อะไรอย่างนี้ครับ อย่าลืม escape ด้วย
อ่านเรื่อง SQL Injection ดูครับ

http://en.wikipedia.org/wiki/SQL_injection

หนทางป้องกัน อ่าน

• http://php.net/manual/en/funct...n.mysql-real-escape-string.php
• http://php.net/manual/en/function.htmlentities.php

ช่วยได้ครับ
เอ้อ อีกเรื่องรหัสไม่ไม่ควรเก็บเป็น plain text นะครับ (รหัสเปล่าๆ ไม่ได้เข้ารหัส)

ลองอ่านเรื่องการเข้ารหัสดูครับ

http://php.net/manual/en/book.hash.php

ตอนนี้ข้อมูลกู้ไม่ได้ยกเว้น backup ไว้ หรือมีระบบ recovery ครับผม 

[thenetxx]

SQL injection

ดูโฟลเดอร์คล้าย ๆ CI

Clean ค่าก่อน query ครับ

[kongpair]

เวลารับค่าจาก Form  แล้วเราใช้มันตรง ๆ เลยแบบนั้นโดนแน่นอนครับ

ต้องตรวจสอบข้อมุลในฟอร์มที่รับมาว่า เป็นไปตามที่เรากำหนดไว้มั้ย

อย่างเช่นฟอร์มกรอกตัวเลข ก็ต้องตรวจสอบว่ามันเป้นตัวเลขจริง ๆ

ไม่ใช่ CODE PHP ที่ไหนยัดมา

[igett]

SQL injection แหงๆเลยครับ

[tionline]

แก้ได้แล้วครับผม ขอบคุณทุกท่านมาก สาเหตุเกิดจากเรียกใช้ทาง url ที่ไม่ data อยู่จริง แล้วมันก็ทำการ insert ข้อมูลเปล่าๆลงไป
และที่เจอได้ก็เพราะมันไป index ที่ google ตกลงไม่รู้ไครแฮกผมกันแน่ ไม่รู้ว่า google หรือ คน

แต่ก็ดีใจครับ

[ohmohm]

ยินดีด้วยครับ แต่ถ้าจะให้ดี ทำ pen test ด้วยซิครับ
http://sectools.org/web-scanners.html

Mambo Site Server 4.0 build 10 is vulnerable to Cross Site Scripting (XSS).
Auto Directory Index 1.2.3 and prior are vulnerable to XSS attacks.
Post Nuke 0.7.2.3-Phoenix is vulnerable to Cross Site Scripting (XSS).
Nuked-klan 1.3b is vulnerable to Cross Site Scripting (XSS).
SunShop is vulnerable to Cross Site Scripting (XSS) in the signup page. CA-200-02.
eZ publish v3 and prior allow Cross Site Scripting (XSS).
Sage 1.0b3 is vulnerable to Cross Site Scripting (XSS).