[BUG] Любой префикс на StressWeb

[Capitalist 19]

Пожалуй расшарю баг. Суть его в том, что можно самому выбрать префикс который ты пожелаешь (ввести префикс самому).

Баг в принципе некритичный, но как грится неприятный

Короче говоря:

1) открываем любой сайт где стоит stressweb (пусть у нас это будет Euro-PvP (Красавчики. пофиксли!. Короче будем юзать баг на moon-land.net)

2) переходим на страницу с регистрацией 

3) Заполняем все поля , подсвечиваем фигнюшку с выбором префикса и жмем "Посмотреть код" (я юзаю гугл хрум, в "яндекс хруме" это будет вроде называться "Исследовать код")

4) У нас открывается прекрасная возможность подменить POST данные которые мы отправим в PHP-обработчик регистрации. Давайте сделаем это

На скрине ниже я развернул всё что у нас скрывается под "<select>", и поменял value (первого option) с m2 на capit (тк capit+alist=capitalist). Чтобы наглядно было понятно я изменил ещё выводимый префикс в форму  (те данные которые выводятся юзеру выделены синим цветом, их менять не обязательно, чтобы поменять префикс нам нужно только всё что находится в value="?").

5) Если всё окей и вы готовы получить результат - жмите регистрация (отправляйте форму).

Я отправил и получил такой результат:

6) Открываем файл, видим что всё работает и мы зарегистрировали аккаунт capitalist.

7) Ложь, ... , и провокация? Всё это ФШ? Данные от аккаунта предоставлены, заходите - пользуйтесь. Но мне тоже интересно, может это какая то ошибка и аккаунт не создался? Поэтому я решил зайти в лк.

Ой, а как это получилось что мы зарегистрировали аккаунт со своим префиксом? Легко и просто, разработчик не додумался хранить сгенерированные префиксы в сессиях PHP и проверять их на валидность при регистрации. Хотя-б проверка на длину логина происходит вместе с префиксом, а то это был бы MEGAFAIL)

[L2Banners 664]

Можно не заморачиваться с префиксом, полностью удалить узел select и префикс не будет подставлен к имени.

+ за подробную инструкцию

[Capitalist 19]

3 минуты назад, L2Banners сказал:

Можно не заморачиваться с префиксом, полностью удалить узел select и префикс не будет подставлен к имени.

+ за подробную инструкцию

Это черевато брутом по логин:пароль которые в шаре. Лучше сделать валидацию через PHP-сессии.

[L2Banners 664]

1 минуту назад, Capitalist сказал:

Это черевато брутом по логин:пароль которые в шаре. Лучше сделать валидацию через PHP-сессии.

Это не ко мне) Я к св никак не отношусь. Игроку изначально написано для чего нужен префикс, если он готов рисковать это его проблемы. Самые отчаянные вообще по 1000 обновлений делают чтобы префикс начинался так как их ник...