Pages

Tuesday, 21 January 2014

Rejestracja istniejącego, lub jednoliterowego nicku [MyBB, phpBB]


Za namową Adama z Z3S postanowiłem opisać problem po polsku i przeprowadzić trochę więcej testów (dzięki za motywacje! :>).

Czym jest "zero width non jointer"
"zero width non jointer" jest znakiem o szerokości 0 pixeli, samodzielnie występuje jako niewidoczny znak. Więcej informacji: http://en.wikipedia.org/wiki/Zero-width_non-joiner

Znajdziemy go w tablicy znaków (Start > Wyszukaj "> "Tablica Znaków"),  zaznaczamy Widok zaawansowany i w wyszukiwanie wpisujemy "Zero Width Non-Joiner", naciskamy wybierz, a następnie kopiuj.




















Test popularnych for
Postanowiłem przetestować jak zadziała użycie go przy rejestracji na kilku popularnych forach.

  • Vbulletin&IpBoard 

Oba wydają się być bezpieczne,
‍‍‍Vbulletin przechodzi początkową walidacje, przy wpisywaniu, jednak po kliknięciu zarejestruj:








Podejście IpBoard bardziej mi się spododało, odrazu informuje, że można użyć tylko znaków a-zA-Z0-9





  • MyBB:

Potrzebujemy nicku 3 znakowego:






Teraz dodałem 2 znaki "zero width non jointer":






 Działa!









Ale rejestracja nicku jak 'a', może służyć jedynie zabawie, teraz spróbujmy zarejestrować istniejący nick, czemu by nie "admin" ?

Przed dodaniem znaku U+200c :




 

Po:












Zalogowano



Dodanie posta w temacie prawdziwego admina:
















Na następnym screenie, możemy zobaczyć 3 adminów i 2 użytkowników o nicku 'a':








Zgłosiłem już to do MyBB.

  • phpBB

Tym razem forum nie pozwala nam zarejestrować takiego samego, jednak nadal można nick jednoliterowy:







Zagrożenia:
Powiecie, że np. w MyBB "admin jest zielony i ma więcej gwiazdek", Prawda..., ale:
1. W prywatnej wiadomości, np z prośbą o nowe hasło, ludzie mogą tego nie zauważyć, szczególnie jeżeli użyjemy takiego samego avataru.
2. Możliwe jest stworzenie każdego nicku, więc atakujący może stworzyć konto o nicku zaufanego sprzedawcy, o takiej samej randze, a nabicie postów to nie problem.
3. Ludzie mogą popełnić błędy podczas wysyłania prywatnych wiadomości i wybrać nas, zamiast prawdziwego adresata.


Jak zaradzić:
Najlepszym sposobem, jest sposób zastowany przez IpBoard, czyli whitelist dla dozwolonych znaków, np. a-zA-Z0-9

Fix w MyBB stworzony przez Pawła Klebba:

Plik inc/datahandlers/user.php, linijka koło 73. Zamienić ją na:
$username = str_replace(array(unichr(160), unichr(173), unichr(0xCA), dec_to_utf8(8238), dec_to_utf8(8237), dec_to_utf8(8203), dec_to_utf8(8204) ), array(" ", "-", "", "", "", "", ""), $username);


15 comments:

  1. Habits die hard. So, if we are going to be slaves of our habits, lets at least have good habits. If we stretch this point, it is easy to see the case for money and financial education for school children.http://www.careerpanth.xyz/

    ReplyDelete
  2. The blog resembles a chocolate for me. I need to have it constantly.
    clash royale triche

    ReplyDelete
  3. How about you take a good look here for some good information about spyware application called mSpy

    ReplyDelete
  4. Im no expert, but I believe you just made an excellent point. You certainly fully understand what youre speaking about, and I can truly get behind that. Racing Simulator

    ReplyDelete
  5. The experts of this company always understand the students and their homework issues. So, they provide best primary homework help service in doing their assignment in numerous subjects. The service not only helps the students in resolving their issues of academic assignment, but also provides some time for meditation and relaxation. This company has become a renowned website in worldwide academic industry. It acts as the best homework help service provider, which provide solutions to the changing needs of the students around the world like USA, UK, Australia and Singapore many others. The experts of this company do not hide anything from you and always keep constant contact with you regarding your assignments. If experts face any issues during providing do my homework for me , it is immediately shared with you so that you can resolve the issues regarding your requirements.

    ReplyDelete
  6. My Assignment Services is your first and last destination for every query you have related to ‘help my assignment’ because we guarantee you the lowest possible price of Java Assignment Help Australia with the unmatched quality of assignments in Australia.

    ReplyDelete
  7. This post is not just informative but impressive also. The post is so convincing that it created an urge to choose Assignment Help services. You can email us at Info@Myassignmenthelpau.Com or Phone Number: +61-2-8005-8227

    ReplyDelete
  8. StudentsAssignmentHelp.com is working to give the professional Essay Help services for all the students studying in different colleges or universities in Ireland. We can cover any of the essay topic for you and assure that you will score the highest grades ever.

    ReplyDelete
  9. Allassignmenthelp has been the academic industry leader for last four years now. Online assignment helpin the field of a specialized product that benefit students.

    ReplyDelete
  10. Allassignmenthelp reviews31 January 2019 at 22:39

    Welcome to the Best writer Review, Here you can get the best Allassignmenthelp reviews
    sites. We strongly urge you to check our entire website once and we will assure you will find this review website very useful. Our hard work will be rewarded if students like you will appreciate our effort and spread the message about this site with your class-fellows and friends.

    ReplyDelete
  11. A lot of valuable information can be derived from the post. Certainly, this compelling post will encourage readers to choose Assignment Help Australia services. You can email us at info@firstassignmenthelp.com.

    ReplyDelete
  12. Thanks have been given the opportunity to comment. Hopefully what you provided is useful for all those who need them. Visit my website if you want to know more about www.12naga.com

    judi online terpercaya
    taruhanbola
    Poker Online
    togel online
    casino online
    sabung ayam online
    tangkas online terpercaya
    slot online

    ReplyDelete
  13. Students Assignment Help have the dedicated and expert team of professional writers who can provide the how to write an essay services correctly. Our writing experts have complete knowledge of all academic assignments to assist students. Our expert writers are the degree holder from the top universities.

    ReplyDelete