Wo ist der Loseproof-Bugthread hin?

ice-breaker · 4 April 2007

chuone schrieb:
richtig, es ist sicherer, ABER in sehr vielen fällen einfach unsinnig, wie gesagt ich will nur das [ Zeichen verbieten als Beispiel, dann prüfe ich nur ob das [ Zeichen drin ist und nicht dass nur alle anderen drin sind wie es ice machen würde.

so jetzt übersetze ich mal meinen gemütszustand in geschribene sprache:
HAST DU SIE NOCH ALLE :?:

Du fängst mit blacklist zeug an wobei ich noch keinen Wort drüber verloren habe, sondern mich über deinen miserabelen bugfix lustig gemacht habe.
Dann kommst du mit einem Beispiel was vollkommen korrekt ist, auf das [ zu prüfen und unerstellst mir ich würde anderes behaupten. SAGMAL WO SNID WIR DENN?
Es ging um dein include()-Statement und nicht um etwaige [-Prüfungen, und da ist eine Blackliste vollkommen fehl am Platz.
Wenn du nicht verstehst, was ich sage, dann sei einfach leise und seh ein, dass du scheise gebaut hast

chuone · 4 April 2007

ice-breaker schrieb:
schade, dass der herr, nicht versteht was eine whitelist ist, nämlich eine auflistung von seiten die NUR erlaubt sind, eine blackliste dagegen filtert dinge aus die nicht erlaut sind. jetzt ist die frage, was ist effektiver?
eine whitelist, denn eine Blackliste lässt sich meist doch noch irgendwie umgehen
Der einzige der nicht zuende denkt bist du, denn dein Argument ist quatsch, prüfen ob nen string 1-10 zeichen hat statt prüfen ob leer, omfg

bin ich gerne dabei, sag bescheid, wenn du mal nach frankfurt kommst, dann nehme ich die bahn und wir treffen uns da net in nem kaffee

[/QUOTE]

ok einer muss noch ....

whitelist: man definiert die sachen die erlaubt nicht, unterbindet alles andere
blacklist: man definiert die sachen die nicht erlaubt sind, unterbindet alles andere

das ist black und white und erzähl mir doch nichts von irgendwelchen seiten, du sagst bugfix und nicht irgendwas mit seiten..

wir auch immer, whitelist geht nicht, warum weist du natürlich mal wieder nicht weil du mal wieder zu wenig ahnung hast von dem was du von dir gibst...
es gibt zich erweiterungen z.b. games, wenn ich jetzt eine whiteliste erstelle kann man die alle nicht mehr aufrufen

edit:
ich will gar nicht sagen dass die lösung wie der useraccount funktioniert so bombe ist, das weiß ich selbst, aber ich brauch mir doch nix von euch anhören lassen über mein jahrealtes script wenn ich schon längst auf nem ganz anderem level bin und seiten kennengelernt habe von denen ihr nichtmal wisst dass es sie gibt , ice , bani und raven

seit froh dass ich nen bugfix gemacht habe und zwar direkt als höchste priotität ... zu sagen er seie schlecht bringt uns auch nicht weiter..
ausserdem wie war das mit den schleifen?? schlechter code der funktioniert ist doch besser als guter code der schneller funktioniert, richtig ice?

bartman · 4 April 2007

Bow before me, I made the impossible possible! :biggrin:

whitelist.php

Code:

<?php
$whitelist = array(
'index',
'lose_auszahlen',
/* eigene erweiterungen jetzt einfuegen */
'shoutbox',
'coupon',
);
?>

index.php

Code:

...
require_once('whitelist.php');

if (!in_array($loadfile, $whitelist)) { ... }
...

raven · 4 April 2007

Ach, ist das echt so unmöglich?

PHP:

$whitelist = array('index', 'site1', 'site2');
if(!in_array($request, $whitelist))
  $request = 'error';

Deine Erweiterungen könnten nun ein PHP-File erweitern, oder halt mehrere Dateien einbinden, die jeweils die eigene Whitelist übergeben:

PHP:

$whitelist[] = 'abc';
$whitelist[] = 'def';

Simples Konzept, große Wirkung :roll:

Hmpf, Bart, musst du immer so schnell sein?

ice-breaker · 4 April 2007

chuone schrieb:
seit froh dass ich nen bugfix gemacht habe und zwar direkt als höchste priotität ... zu sagen er seie schlecht bringt uns auch nicht weiter..
ausserdem wie war das mit den schleifen?? schlechter code der funktioniert ist doch besser als guter code der schneller funktioniert, richtig ice?

willst du deinen bugfix als gut bezeichnen?
den könnte man sicherlich immernoch ausnutzen, aber neija, lassen ma es gut sein, du bist der größte und machst alles richtig, dein code ist jahre alt und deshalb dürfen da kritische schwachstellen drinne sein, die jeder kennt, der php lernt. mal abwarten wie sicher dein neues script wird *hrhr*

Edit: man kann auch white-lists dynamisch über ne db-regeln

und schon gehen auch wieder alle spiele, aber neija mit dir zu diskutieren ist sinnlos

scriper · 4 April 2007

chuone schrieb:
whitelist: man definiert die sachen die erlaubt nicht, unterbindet alles andere
blacklist: man definiert die sachen die nicht erlaubt sind, unterbindet alles andere

Öhm....das ist falsch.

blacklist: man definiert die Sachen die nicht erlaubt sind, erlaubt alles andere! :roll:

Des weiteren finde ich es kindisch, sich mit jemandem über seine Pseudofähigkeiten zu streiten, der nur darauf aus ist sich zu profilieren.

raven · 4 April 2007

ice-breaker schrieb:
man kann auch white-lists dynamisch über ne db-regeln und schon gehen auch wieder alle spiele, aber neija mit dir zu diskutieren ist sinnlos

Auch eine Möglichkeit. Die wollte ich jetzt aber nicht angeben, weil Meister Bugfix dann bestimmt wieder über die Geschwindigkeit der Datenbank gemeckert hätte ... :roll:

chuone · 4 April 2007

ice-breaker schrieb:
willst du deinen bugfix als gut bezeichnen?
den könnte man sicherlich immernoch ausnutzen, aber neija, lassen ma es gut sein, du bist der größte und machst alles richtig, dein code ist jahre alt und deshalb dürfen da kritische schwachstellen drinne sein, die jeder kennt, der php lernt. mal abwarten wie sicher dein neues script wird *hrhr*

Edit: man kann auch white-lists dynamisch über ne db-regeln und schon gehen auch wieder alle spiele, aber neija mit dir zu diskutieren ist sinnlos

dann probier es doch einfach ... du kannst nur noch nummern und buchstaben ausm abc benutzen, die schwachstelle

white list ist definitiv eine lösung, aber eine "sehr" schlechte, ich sag nicht dass meine besser ist, aber es gibt viel sicherer methoden, die ich benutze - aber nicht in meinem sehr alten script.

"sehr" weil relativ

und das ganze mittels db dynamisch machen ist wohl ein witz... naja macht mal .. php is ja auch nicht da um dynamik zu verleihen...

scriper schrieb:
Öhm....das ist falsch.

blacklist: man definiert die Sachen die nicht erlaubt sind, erlaubt alles andere!

Des weiteren finde ich es kindisch, sich mit jemandem über seine Pseudofähigkeiten zu streiten, der nur darauf aus ist sich zu profilieren.

is richtig, hab ich mich verschrieben,
ich find einfach lächerlich mir von diesen 3 leuten immer wieder was zu hören.

Johnson · 4 April 2007

chuone schrieb:
[...]
edit:
ich will gar nicht sagen dass die lösung wie der useraccount funktioniert so bombe ist, das weiß ich selbst, aber ich brauch mir doch nix von euch anhören lassen über mein jahrealtes script wenn ich schon längst auf nem ganz anderem level bin und seiten kennengelernt habe von denen ihr nichtmal wisst dass es sie gibt , ice , bani und raven[...]

Kannst du mir die Seiten mal zuschicken? Vielleicht kann ich dann in Zukunft auch professioneller arbeiten.

Gruß

Ja, er ist und bleibt mein großes Vorbild - der Programmierer schlechthin.

raven · 4 April 2007

chuone schrieb:
white list ist definitiv eine lösung, aber eine "sehr" schlechte, ich sag nicht dass meine besser ist, aber es gibt viel sicherer methoden.

Stop mal

Es gibt eine sicherere Methode, als wenn du nur die Anfragen zulässt, die du zuvor selber definiert hast? :mrgreen:

Revolutionär! Gigantisch! Unglaublich!
(muahahaaa)

ice-breaker · 4 April 2007

chuone schrieb:
dann probier es doch einfach ... du kannst nur noch nummern und buchstaben ausm abc benutzen, die schwachstelle

white list ist definitiv eine lösung, aber eine "sehr" schlechte, ich sag nicht dass meine besser ist, aber es gibt viel sicherer methoden.

"sehr" weil relativ

Ähm du weisst aber schon wovon du redest?
Whitelist ist die bewiesen sicherste Methode, sicherer geht es net mehr, und dynamisch über ne DB ist schlimm? oh, ich füge alle 4 Wochen, wenn nen neues spiel kommt mal ne neue Zeile in die Datenbank ein, wie schlimm, dafür ist mein System 100% sicher gegen diese eine Angriffsmethode, ach quatsch, braucht ja kein Mensch, ich bastel ne Blackliste, weil es ist ja besser bestimmte Dinge darin zu vergessen

Willkommen im Web 2.0 chuone

Bani · 4 April 2007

chuone schrieb:
und seiten kennengelernt habe von denen ihr nichtmal wisst dass es sie gibt , ice , bani und raven

Er hat Seiten kennen gelernt. Verbünden wir uns und quetschen sie aus ihm raus!

Mal ehrlich, was für eine andere Seite braucht man, um zu Programmieren außer die MySQL Manual und die PHP Manual?

Diese Aussage setzt dich einen Rang zurück und damit hast du nur noch 4000 Ränge Vorsprung auf raven udn icq und 6000 Ränge Vorsprung auf mich (*hinterher zieh*).

chuone · 4 April 2007

Bani schrieb:
Er hat Seiten kennen gelernt. Verbünden wir uns und quetschen sie aus ihm raus!

quetsch mal .. haha
kannst du eigentlich deutsch? es gibt (web)seiten, (zeitungs)seiten und auch seiten (an einer frau), (neue) seiten (der welt die man kennenlernen kann)

edit zu ice:
ich weiß warum ich mich ständig wiederholen muss, du müsstest es doch langsam erkannt haben..
wenn man von vorne herrein gar keinen zugriff auf den admin hat von der seite aus, ist was sicherer und besser? es ist genauso sicher wie deine whitelistmethode aber effizenter und schneller in der parsezeit.

ice-breaker · 4 April 2007

chuone schrieb:
edit zu ice:
ich weiß warum ich mich ständig wiederholen muss, du müsstest es doch langsam erkannt haben..
wenn man von vorne herrein gar keinen zugriff auf den admin hat von der seite aus, ist was sicherer und besser? es ist genauso sicher wie deine whitelistmethode aber effizenter und schneller in der parsezeit.

und ich muss es scheinbar auch dauerhaft, ein letztes mal für unseren kleinen schuh:
Eine Blackliste biete keine 100%-ige Sicherheit, eine Whitelist dagegen ist bewiesen zu 100% sicher.
Das ist nun mal ganz primitiv ohne Informatikbegriffe für dich, damit du es auch verstehst

scriper · 4 April 2007

chuone schrieb:
kannst du eigentlich deutsch?

Öhm, von uns kann keiner deutsch, du etwa?

h3x3r · 4 April 2007

scriper schrieb:
Öhm, von uns kann keiner deutsch, du etwa?

deutsch? kann hier überhaupt einer deutsch?

EDIT: Einige können es schon, dass will ich ja nicht anzweifeln. Aber is schon lustig, wenn ich mir das hier so alles durchlese...

scriper · 4 April 2007

h3x3r schrieb:
deutsch? kann hier überhaupt einer deutsch?

Ja, ER kann es - er ist immerhin Chuck Norris....oder, moment!

Issa ja garnet!

BETRUG! :biggrin:

bastie · 4 April 2007

Für alle, die ein großes Fragezeichen im Gesicht haben bei den Chuck Norris Witzen:
https://www.stupidedia.org/stupi/Chuck_Norris

Querulant · 26 Dezember 2007

Schade eigentlich das die Seite nicht mehr aktualisiert wird bzw. es die Seite nichtmal mehr gibt :-?

ice-breaker · 26 Dezember 2007

neija ich kann es schon verstehen, wurden doch bis zu dem Zeitpunkt alle Fehler im FWX und VMS gefunden (denke ich mal), und die werden ja auch wichtigeres zu tun haben, als nen paar billige Lose-Scripte zu durchsuchen

Wo ist der Loseproof-Bugthread hin?

return void

Yeah der König

Alter Benutzer

Well-known member

return void

Eta Capricorni

Well-known member

Yeah der König

Code-Frevler

Well-known member

return void

Hat's erfunden

Yeah der König

return void

Eta Capricorni

blablub

Eta Capricorni

Well-known member

SEO

return void