Testa min sida för säkerhetshål

Dessutom har företaget dolt php-fel med html-koomentarer.

    <!--<div class="art-Block">
    <div class="art-Block-tl"></div>
    <div class="art-Block-tr"></div>
    <div class="art-Block-bl"></div>
    <div class="art-Block-br"></div>
    <div class="art-Block-tc"></div>
    <div class="art-Block-bc"></div>
    <div class="art-Block-cl"></div>
    <div class="art-Block-cr"></div>
    <div class="art-Block-cc"></div>
    <div class="art-Block-body">
<div class="art-BlockHeader">
    <div class="l"></div>
    <div class="r"></div>
    <div class="art-header-tag-icon">
        <div class="t">
        <br />
<b>Notice</b>:  Undefined variable: q in <b>/home/cwebcons/public_html/F1CashBack/include/right.php</b> on line <b>63</b><br />
<br />
<b>Notice</b>:  Trying to get property of non-object in <b>/home/cwebcons/public_html/F1CashBack/include/right.php</b> on line <b>63</b><br />
        </div>
    </div>
</div><div class="art-BlockContent">
    <div class="art-BlockContent-body">
    <a href="http://www.cwebconsultants.com/F1CashBack/index.php?page=content&id=38">Trading Software</a><br />
	<br />
	<a href="http://www.cwebconsultants.com/F1CashBack/index.php?page=content&id=39">Trading Systems</a><br />
	<br />
	<a href="http://www.cwebconsultants.com/F1CashBack/index.php?page=content&id=40">Forex Forums</a><br />
	<br />
	<a href="http://www.cwebconsultants.com/F1CashBack/index.php?page=content&id=41">Forex Signals</a><br />
	<br />
	<a href="http://www.cwebconsultants.com/F1CashBack/index.php?page=content&id=42">Forex Calendars</a><br />
	<br />
		<div class="cleared"></div>
    </div>
</div>
 
		<div class="cleared"></div>
    </div>
</div>-->

Tack colione för hjälpen.

Lyckades få fram en del roliga felmeddelanden... Se följande sidor:

http://www.cwebconsultants.com/F1CashBack/include/class/mysql.php

http://www.cwebconsultants.com/F1CashBack/include/config/custom.php

http://www.cwebconsultants.com/F1CashBack/include/email/mail.php

http://www.cwebconsultants.com/F1CashBack/include/function/image_resize.php

Det är iofs inte så märkligt då de kräver fler includes för att fungera. Jag antar att du inte ska hostas på deras server och du (eller den som hostar sidan) kan slå av directory listing och php-fel när du tar den i produktion.

Det finns en brist till, lösenorden är inte krpterade.
Jag testade att regga ett konto på en riktig mailadress, som jag kan läsa, och klickade sedan på "Forgot password",
Då fick jag det här, dvs med mitt password i klartext.

Det är ju ingen höjdar lösning, bl.a. för om om någon lyckas komma över databasen så är ju skadan mycket värre, de kommer ju över lösenorden i klartext. (dessutom tillsammans med användarnas mailadress, där säkert minst hälften skulle ha samma lösenord på sitt mailkonto...)

En lösning med krypterade lösenord, och en funktion för att generera ett nytt lösenord vid "Forgot password" är ju troligen lite dyrare att göra, det är ju lite mer komplext men klart mycket bättre.

Det känns aldrig bra när man kan få reda på sitt lösenord av siten. För kan "Forgot password" funktionen läsa det kan ju någon annan också....

Så om det här är ett fel, det beror väl på vad som är överrenskommet.
Men det är iallafall inte "best practice".

/pebi

***This is an automated email, please do not reply***

Hi Kalle Kula,

Your login details for your website account are:

Username: xxxx@hotmail.com
Password: kalle123

Once logged into your account you may change the password or keep this one..

***Please keep your account details safe and secure***

Regards,

F1CashBack.com

Tack för alla svar.
Jag har påpeka alla fel som ni har upptäckt till webbutvecklaren, men tyvärr vill han inte riktigt ta ansvar för sitt arbete Trots att jag har klart och tydligt nämnt för honom att jag vill ha en väl fungerande webb och utan några säkerhetsluckor.
Vad måste jag begära mer från honom förutom källfiler ?

Se till att du får en databasdump av honom.

Dvs att han skapar en kopia av databasens innehåll (data + struktur).

Samt alla bilder och andra icke källfiler.

Det vi ser här är ett lysande exempel på vad man kan drabbas av när man anlitar "indier"
googlar man på utvecklarens namn så kan jag ge mig fasen på att man får en hel drös träffar på diverse utvecklarforum där han ställer frågor (eller kanske t.o.m mer eller mindre kräver färdiga lösningar)

Tack JME ! Jag kommer nog att kräva databasdump av honom .

Du har alldeles rätt rhdf. Men glöm inte att det finns massa duktiga indiska webbutvecklare.

ja, men det går ett dussin riktigt usla webbutvecklare/programmerare på varje bra. Problemet som kund är då att kunna veta vad det är man köper. och inte ens om man tror sig ha koll så är det säkert att man får den kvalitet man trodde sig köpa. vad är det som säger att "indier A" inte låter "indier B" utföra stora delar av jobbet. dock är "indier B" riktigt usel, men det skiter A i eftersom han på detta sätt kan utföra 10 projekt i månaden istället för 5