Web Wiz Forum — webForum

BiasseMedlem sedan aug. 2003480 inlägg

Frågan18 mars 2004 11:40#1

Jag använder detta forum och har fått det hackat. Dom lyckas logga in utan att vara members(har reggen avstängd) och finns där online med alla rättigheter???

Troligtvis har dom använt "SQL-Inject" och jag skulle behöva ha lite hjälp med att få in det i koden.

Det är mycket kod så jag bifogar hela "login_user.asp"

Hoppas det går att lösa.

mvh Biasse :q

login_user.zip (5 kB)

Jesper TMedlem sedan nov. 20017 144 inlägg

18 mars 2004 12:09#2

Du kan du fortsätta här kanske:

'Take out parts of the username that are not permitted
strUsername = Replace(strUsername, "password", "", 1, -1, 1)
strUsername = Replace(strUsername, "salt", "", 1, -1, 1)
strUsername = Replace(strUsername, "author", "", 1, -1, 1)
strUsername = Replace(strUsername, "code", "", 1, -1, 1)
strUsername = Replace(strUsername, "username", "", 1, -1, 1) 
[b]strUsername = Replace(strUsername, "'", "")
strUsername = Replace(strUsername, "|", "")
strUsername = Replace(strUsername, "\", "")[/b]

...

'If not quick login empty variables
If Request.Form("QUIK") OR blnSecurityCodeOK = false Then
	strUsername = Replace(strUsername, "'", "''")
	strPassword = Replace(strPassword, "'", "''")
Else
	strUsername = ""
	strPassword = ""
End If

osv.