كيفية تخطى magic quotes

أخي الكريم ..

اولا راجع هذا المصدر : en.wikipedia.org/wiki/Magic_quotes

فـMagic_quotes لها مهمة بسيطة وهي اضافة \ قبل كل ' او " او \

كي لا تسبب خطأ ما ..

لاحظ معي الكود الذي كتبته انت <script>alert(xss)</script> خطأ بسبب وجود نصوص غير محصورة ب " او ' ولهذا تصحيحها يجب ان يكون هكذا <script>alert('xss')</script> الان الـMagic_quotes سوف تضيف \ قبل كل اشارة '

مما سوف يسبب مشكلة في الكود الحل : استخدام تشفير النصوص ...ابحث قليلا عن مصادر جافا سكريبت مشان تتنشط ..

او استخدم رقم مثل <script>alert(1)</script> وهذا الكود رح يعمل ومارح يتأثر بـMagic_quotes

ولكن بيني وبينك الكود مكشوف يعني معظم المتصفحات تكشفه لهذا لازم تطور وتخبي كودك شوي ...وهون الابداع حيث تستطيع استخدام الجافا سكريبت في اي وسم مثل وسوم الصور لاحظ الكود التالي :

<img src=blah onerror=alert(1)>

وهو يقوم بنفس مهمة الكود السابق ولكنه مخفي اكثر عن المتصفح او اي حماية يستخدمها الضحية كما يمكنك استخدام الفريم او اي وسم تقريبا ..اترك لك البحث كي تتمتع قليلا بهذا العالم الشيق ...

خاصية الـmagic quotes في مفسر php تعبث في علامات التنصيص بمعنى لو وضعت:

<script>alert("xss")</script>

فستصبح:

<script>alert(\"xss\")</script>

هذا الكود غير صحيح مما يخرب الإستغلال. الحيلة الشائعة لتفاديها أن لاتستخدم علامات التنصيص وتحول النصّ إلى مايقابله برموز الـascii. مثلاً "xss":

120 = 'x', 115 = 's', 115 = 's'

ومن ثم تستدعي الوظيفة String.fromCharCode ليصبح الإستغلال:

<script>alert(String.fromCharCode(120, 115, 115))</script>

يمكنك إستخدام الإضافة hackbar في فايرفوكس للعمل بسرعة (تجدها بعد التنصيب في قائمة view -> toolbars -> hackbar).

شكرا لكم على الاجابة

و انا كنت بحاول اشفره بالهاك بار بس مكنتش عارف اشفره ازاى فكنت بشفر الجملة كلها فبيطلع معايا غلط :D شكرا لكم