Foro de elhacker.net

Buenas,

Pues mi web es: http://myztring.com

Me gustaria saber si le encuentran algun "lugar" para modificar/inyectar en la base de datos. Esto es realmente importante y me gustaria recivir consejos de los mas experimentados :)

Ademas, me salio un error en la cabezera cuando ejecuto la funcion mysql_real_escape_string():

Error: [2] mysql_real_escape_string() [function.mysql-real-escape-string]: Access denied for user 'nobody'@'localhost' (using password: NO)
Error: [2] mysql_real_escape_string() [function.mysql-real-escape-string]: A link to the server could not be established

La estoy implementando despues de conectar a la base de datos.

$var = mysql_real_escape_string($var);

Desde ya muchas gracias :)

No sería más fácil, que pusieras el código.

deberias ponerte las pilas porque si vas a ahcer un sistema que tenga que ver con plata pues entonces do deberias tener tantos errores, hasta para entrar en el area del login te da error. deberias poner parte del codigo para ver que esta pasando.

Agrego el archivo adjunto ya que por alguna extraña razon NO puedo publicar la funcion perzonalizada en el foro XD
http://shareflare.net/download/63489.63c926b620852407b63e3398d/hacker.net.txt.html

La funcion filtrar, la tengo incluida en la cabezera del script, justo despues.
Ademas, cabe mencioanr que inicio la pagina con un "   ob_start();" lo que podria estar deteniendo la conexion dando asi un error al utilizar la funcion mysql_real_escape_string();

Subelo a mediafire

Buenas,

Aqui esta el codigo que corresponde a un form, quiero decir que las funciones son similares en todos los forms por lo que el desarrollo sera igual en todo lugar.

if (isset($_POST['Send']))
{
	$username = $_POST['Username'];
	$username = htmlspecialchars($username);
	if (get_magic_quotes_gpc[]) // puse [] porque si pongo () seguido de la funcion no me deja postear. 
		$username = stripslashes($username);
	$username = mysql_real_escape_string($username);
	mysql_query("SELECT * FROM usuarios WHERE nombre='{$username}'");
}
//El form:
echo '<form action="'.$_SERVER['PHP_SELF'].'" enctype="multipart/form-data" method="post"><table><tr><td><b>Username:</b></td><td><input class="textbox" maxlength="10" name="Username" size="20" type="text"/></td></tr></table></form>';

Que piensan?
Tendra vulnerabilidades el webform?

Pues no sé si en este caso exista un XSS, pero WHK dice:
Código:

   echo $_SERVER['PHP_SELF']."\n";

PoC: index.php/%3Cscript%3Ealert%28/XSS/%29%3C/script%3E

wuops!
Bueno,
Ya eh corregido todos los forms con esa variable, ven algun otro error o vulnerabilidad para inyectar en la base de datos o dar fallos en la web?

Buenas,

Mi consulta sigue jeje.
Creen que con Ls precauciones de este post:
Exista forma de inyectar en la base de datos?