echo htmlentities($string); — это безопасный и эффективный способ остановить все XSS-атаки на страницу
Не все. Если, например, на странице «О себе» есть параметр «Мой Сайт», а пользователь контролирует вставляемую ссылку, то нарушителю достаточно указать javascript:alert() для реализации XSS по клику.
Тут нет двойных кавычек, треугольных скобок, так что функция htmlentities() ничего не отрежет.
У меня успешно отрабатывает. Разница, правда, не как у автора (+2сек), но отчетливо видно повышенное время отклика, особенно если раз 5 подряд запустить.
For abc = 0.180999994278 sec
For test = 0.226999998093 sec
For adm = 0.203000068665 sec
For root = 0.486000061035 sec
For bob = 0.193000078201 sec
For kok = 0.204999923706 sec
Внутренние пентесты практически всегда показывают, что какая-нибудь СУБД, да обнаружится.
Ну а внешка… Из веб-приложения порой можно «провалиться» до уровня БД. SQL-инъекция какая-нибудь, или еще чего хуже — формы, позволяющие SQL запросы напрямую слать. ERP этим частенько грешат.
Android версия цептера умеет при перехвате кук, подставлять их в встроенный браузер, подскажите пожалуйста, я плохо искал, или десктопная версия приложения не обладает таким функционалом?
У андроид платформы ведь еще немаленькое разнообразие магазинов приложений (гуглплей, самсунго-яндекс-сторы, андроид-маркет, зарубежных так вообще десятки) — можно размещать фейковые приложения, уследить за всеми магазинами не просто будет.
Банк-клиенты выглядят как настоящие, только не радуют
Вот этот девайс очень выручает при проблемной звукоизоляции, попробуйте в следующий раз)
Даже если нет необходимости в переводе и доклад на русском, в него всего транслируется текущая звуковая дорожка и слышно гораздо лучше.
Не все. Если, например, на странице «О себе» есть параметр «Мой Сайт», а пользователь контролирует вставляемую ссылку, то нарушителю достаточно указать javascript:alert() для реализации XSS по клику.
Тут нет двойных кавычек, треугольных скобок, так что функция htmlentities() ничего не отрежет.
Итого: санитайзить надо с учетом контекста.
Понравился фон.
Бесплатный доступ, все хорошо.
Ну а внешка… Из веб-приложения порой можно «провалиться» до уровня БД. SQL-инъекция какая-нибудь, или еще чего хуже — формы, позволяющие SQL запросы напрямую слать. ERP этим частенько грешат.
Банк-клиенты выглядят как настоящие, только не радуют
Как минимум 7, разве нет? 8 контрольная сумма
ну и плюс по ответам M1M2M3M4 — возможность отслеживать, верна ли половинка пароля
Встречал на хабре комментарий двухлетней давности, что не особо то на них и смотрят.
Вот этот девайс очень выручает при проблемной звукоизоляции, попробуйте в следующий раз)
Даже если нет необходимости в переводе и доклад на русском, в него всего транслируется текущая звуковая дорожка и слышно гораздо лучше.
Особенно в паре с собственными наушниками