PHPhulp.nl
35k+ leden Over PHPhulp Offerte opdracht Contact

Forbidden error bij reageren op forumtopic ?!

Door Thomas van den Heuvel op 05-03-2015 14:43 gewijzigd op 05-03-2015 23:45
3.623 views
TL;DR: SQL in lopende tekst levert een 403 Forbidden error op bij plaatsen / bijwerken van een bericht op het forum. Wordt waarschijnlijk veroorzaakt door een of andere gare blacklist check op invoer, maar dat lijkt mij de (compleet) verkeerde aanpak.

---

Forbidden

You don't have permission to access /forum/reply/97379/ on this server.
Apache Server at www.phphulp.nl Port 80

lolwut?

En vervolgens lukt dit om 1 of andere reden dan toch ?

Maar dan:

Forbidden

You don't have permission to access /forum/topic/variabelen-onthouden/699977/wijzigen/ on this server.
Apache Server at www.phphulp.nl Port 80

:(

Vreemdgenoeg kan ik hier wel een topic plaatsen/wijzigen.

What is going on?

[size=xsmall]Toevoeging op 05/03/2015 14:56:48:[/size]

Als ik op deze plaats mijn oorspronkelijke tekst knip en plak heb ik precies hetzelfde probleem, maar als ik deze tekst helemaal uittyp werkt het wel? Waarom werkte dat dan de eerste keer niet? -_-

EDIT: LOOOOOOOOOOOL, ik ben er uit, als je de volgende passage op 1 regel zet:

1 OR 1 [=] 1
(zonder [] dan he)

Dan krijg ik een forbidden error.

Sorry, maar wat is dat voor debiele beveiliging middels een blacklist? Dit forum escaped hopelijk toch wel output (zowel bij afdrukken op de site als bij een insert/update in de database)?

AYYY LMAO

EDIT: het probleem lijkt breder, ik had zojuist de volgende SQL in lopende tekst zitten (zonder de deelstreepjes):

I-N-S-E-R-T I-N-T-O table (a,b,c) V-A-L-U-E-S (1,2,3), (4,5,6), ..., (7,8,9)

Ik krijg weer een Forbidden error. En bij andere varianten van de bovenstaande query wordt mijn tekst gewoon afgekapt? Ahaha.

Really, WTF.
Thomas van den Heuvel
12-03-2015 15:26
Opnieuw een melding van iemand die geen code kan plaatsen, waarschijnlijk vanwege de gare input controles die plaatsvinden...
Ward van der Put
12-03-2015 16:45
Tegen dit probleem liep ik eerder deze week ook aan.
Het verdween toen ik een stukje over D R O P T A B L E had verwijderd.

Lijkt me inderdaad niet de juiste aanpak.
Thomas van den Heuvel
21-03-2015 16:24 gewijzigd op 21-03-2015 16:49
Okay, ik mag blijkbaar ook geen javascript:void(0) gebruiken in codeblokken als href van een hyperlink.

<a href="java script:void(0)">w00t</a>


Lopende tekst en code blokken hebben blijkbaar verschillende blacklists.

G fucking G.
Thomas van den Heuvel
24-03-2015 14:51 gewijzigd op 24-03-2015 14:57
2048 / 1024 is 2

Ook het teken = in lopende tekst lijkt problematisch... Script gaat op zijn bek als ik in bovenstaande tekst is vervang door het teken =.

I mean. Really?
tortuga web
06-04-2015 20:07
En nog één!
Hoe kan ik m´n vraag nou duidelijk uitleggen, als code een forbidden-melding geeft?
En waarom zie ik anderen wel code uploaden en lukt het mij niet?
Thomas van den Heuvel
06-04-2015 20:12 gewijzigd op 06-04-2015 20:14
Bij het plaatsen van lopende tekst en/of code struikelt deze website in elk van deze twee onderdelen over verschillende soorten "verboden input".

Hierboven staan al een aantal gevallen beschreven in welke context (codeblok, lopende tekst) welke content verboden is.

De "truuk" is meestal het isoleren van het tekst- of code-deel wat voor problemen zorgt, en hier dan omheen te zeilen door bijvoorbeeld een spatie toe te voegen in de "verboden passage".

Maar goed, deze controles zijn natuurlijk complete bullshit. Het is de verkeerde manier om dingen "veilig" te maken.

Reageren

Inloggen om te reageren