hack- používane názvy

Zaujímalo by ma, či by nebol dobrý nápad napr. vyvinúť si vlastný "kodovanie" názvov súborov, myslím tým, že napr. miesto admin.php by bolo drzdrtz.php proste neaké znaky samozrejme podľa neakého zmyslu kodovania abo tak. Zťažilo by to cestu prípadnému narušitelovi mojej aplikácie?

Díki.

to si vymyslel sam? to je dost dobre

Heh díki nj sám ma to tak napadlo, bo v poslednom čase akosi nespávam koli tomu, že takéto veci vymýšlam a veci ako čo nakodovať a tak Len by ma zaujímalo, že či by to malo naozaj efekt od niekoho, kto sa viaczaujíma webovoiu bezpečnosťou ako ja

Prepac ale to co si popisal v prvom poste je zbytocne. Naco je to dobre (uplna zbytocnost co na ochrane tvojho webu nic neprida) ???? Pis bezpecne zdrojaky, osetruj vstupy a neries somariny

Jednym z rieseni je napriklad ioncube. Ak by sa niekto k tvojim php scriptom dostal, tak budu zasifrovane a tym padom pre utocnika nepouzitelne pre vlastnu potrebu... Samorejme hosting musi ioncube podporovat a na tamten blud co si napisal v prvom poste zabudni, s tym nic nevyriesis.

A co mi spravi, ked bude vediet napr, ze mam administraciu v subore:
/zdrojaky/admin/tajne/administracia.php ???
Pride tam a co? Mam overenie, ci je prihlaseny, ten subor niekam includujem, a overujem, ci bol includovany...

cez tieto dve ochrany sa nedostane..

Vie kam smerovať úsilie na prelomenie. Neboj, on tam už nájde nejakú skulinku pokiaľ nie je lama. Napríklad ti ukradne sessionid a nepotrebuje sa ani prihlasovať

ide o to, že napr. minule bola odhalená tá chyba injekcie do Gašparovičovej stránky a pod, kto používal ten RS.... viem, že to bolo prasácky napísané: v url si prepísal action=view na edit a už si mohol upravovať text mno a keby mám ja napr. že action=dfktrs by bolo to view a action=dftzuh by bolo edit (viem, že toto je blbý sposob upravy iba pre ukážku) tak by bolo tažšie útočníkovi uhádnuť tu hodnotu ako prepísať to na edit bo to napadne každého ako prvé

Takto prasácky to mala myslím Martináková
cez ten action by som to vôbec neriešil, jednoznačne to v adrese nemá čo robiť. Ak to chceš upravovať, tak v adminskej zóne s úplne inou cestou

jj ja viem ja iba pre príklad, že možno celkovo by bolo možno ťažšie sa tam útočníkovi dostať bo aj keby mi trebarz objaví celú záložku a je tam kopa súborov s nezmyselnými názvami by som ho možno spomalil bo takto by hladal hned súbory typu config.php a pod a takto by nevedel, kde začať možno si spravím vlastný "hash" ktorý ale bude fungovať aj reverse

nj, ale to bude zas náročné na údržbu skriptov, keď budeš niečo meniť, prípadne niekoho priberieš do tímu a je to v pr... pretože sa v tom nebude časom vyznať nikto. Aby ťa to nedostalo do ešte väčších problémov.

nj ale tak to bol iba taký nápad

Prva vec: ako mi ukradnes session id ?

Druha vec: to action=edit/view je trosku masaker..

Tretia vec: miliony stranok bezia na znamych RS, kde presne poznas strukturu a predsa sa malokedy najde chyba

napriklad pomocou xss. s tym edit/view si myslim, ze to neni taky masaker, pokial to mas dostatocne osetrene. je to to iste co si spominal pri oss produktoch, ktorych strukturu si moze pozret kazdy.

suchy: ked uz mam stranku napadnutelnu XSS a ukradne mi session id, tak uz ci sa mi administracny subor vola admin.php alebo ddasdasd.php, je to jedno, nemyslis ?

nechapem, preco takuto otazku pokladas mne. ja som tuto temu nezalozil

A to ako ju chcete položiť mne? Ved ja som ten, čo sa pýtal-> chcel som odpovede a nie ešte otázky na mňa