Гостевуха получилась самая простая - но ето то что надо для примера. Хочешь сделать покруче? Тогда, конечно же, - Read The Fucking Manual!
Теперь давай разберём, что такое запросы. Щас используются в Инете 2 основных вида запросов - POST и GET. Пост запрос - это когда данные из формы отправляются скрипту в теле документа, т.е. мы их не видим. Гет запрос - это когда данные отправляются в строке адрес, в таком виде (после знака ?):
http://atteam.hut.ru/cgi-bin/script.pl?name=lamer &mail=lamer@lamo.ru&message=fuck2all!+2c00l+haxorZ
Типа, поле "name", фа то, что в нём написано - "lamer". Иными словами - имя=значение. Пробелы в значении заменяются на знаки "+", или на "%20". Вообще - эти запосы - сильная вещь - можно чисто из строки адрес в броузере сломать сайт (в большинстве случаев именно так и происходит, если ты не знал.) Я делал такие вещи. На первый взгляд это трудно, но... разобраться можно во всём, кроме высшей математики
. Например что будет, если в запросе будет такое:
...&messdata=gb.txt&...
И если введённые данные не будут проверяться скриптом (а если они проверяются, то обломинго тебе, кулхаскер) на стоп-символы (всякие знаки, типа ?,&,:,%,#,*,/,\\,|, етс.) Знаешь, что это значит? А это значит то, что ето реальная возможность сломать сайт? Это реальная возможнось выполнять команды (как это делает скрипт) на удалённом серванте. Как? А вот так, например:
http://www.microsoft.com/cgi-bin/script.pl?messdata=gb.txt&fuck=all Мы немного изменим эту строку:
http://www.microsoft.com/cgi-bin/script.pl?messdata=|dir Эта команда выводит на экран содержимое данной директории. Наверно, микросукс используют в качестве серверной оси свою любимую ВынЬ, так что команды я привёл досовские, но можно написать и Юниховские, если пользуют Никсы. Вот тебе ещё немного примеров. Комментировать их не буду, сам разберёшься - не ламер. И ещё вспомни, что будет, если скопировать скрипт из директории цги-бин куда-нить? Правильно, он не будет выполняться, то есть, при обращении к скрипту его код просто будет отображаться на экране (а ты бери и сохраняй
). Ну давай, смотри некоторые команды:
http://localhost/cgi/script.pl?fuckinfile=|dir>dir.txt
http://localhost/cgi/script.pl?fuckinfile=|dir
http://localhost/cgi/script.pl?fuckinfile=|echo some_file
http://localhost/cgi/script.pl?fuckinfile=|copy show.pl ..\\showww.pl
http://localhost/cgi/script.pl?fuckinfile=|cp show.pl ../showww.pl
http://localhost/cgi/script.pl?fuckinfile=|ls>dir.txt
Но ведь это были довольно безобидные команды (я сказал "довольно безобидные"
). А если исполнить чё-нить покруче, - например, удалить чё-нить? Ведь в твоих руках - выполнение команд на сервере - делай чё угодно с сайтом. Но я не советую ничё удалять, лучше используй полученный тобой доступ в твоих корыстных целях, какими плохими бы они ни были
. Например - накрутка баннеров, редирект посетителей и др. И не оставляй на сайте никаких своих файлов, чтобы никто ничего не заподозрил. И помни - за взлом какого-нить
http://www.lamer.sucker.fucker.ru тебе ничё не будет (кому ты нужен?), а вот за взлом какого-нить
http://www.yandex.ru может тоже ничё не будет (это при условии, что ты не сопрёшь их авторские скрипты или базы данных). Но если ты их спёр - лучше делай себе быстрее пластическую операцию и меняй имя или уезжай куда-нить в Нигерию к нигерам, иначе, тебя вздрючат за такие дела. А ты чё думал - это же огромная поисковая система, которую писали и модифицировали не один год, и ихние скрипты стоят десятки тысяч буказоидов. А ты такой умный - пришёл - и стыбрил. Так что лучше на такой крупняк не нарывайся - а то тебе воздастся (и это не будет гуд). И помни - главное - не лениться, поменьше пулять в гамезы (а ты как думал?), побольше пить пиво и, конечно, изучать Перл, качать доки, факи, маны из инета. Никогда, я повторяю НИКОГДА не используй чужие скрипты, без тщательной проверки на баги у себя на сайте. А лучше - вообще их не юзай, лучше напиши их сам. Помни, если ты скачал бесплатный скрипт и поставил его на пагу, то в 99,9% случаев я смогу (да и не только я - таких как я много
) тебе как-нить нагадить на пагу. От банального "U haz By ..." до удаления всего твоего сайта нафиг!
Как уберечься от атак? Чем защитить скрипт от всяких левых символов? Вот и весь вопрос..
