Problemas con SMF

gohanjaja · #1 (**permalink**) 05/03/2009, 10:30

Hola gente.

queria saber como puedo ocultar esta parte de mi codigo smf...del tamper data

Código:

<input type="hidden" name="ID_BOARD" value="'.$message['board']['id'].'" />
<input type="hidden" name="ID_MEMBER" value="' . $context['user']['id'] . '" />

los cuales me lo abren con un addon de mozilla llamado tamper data...
Y pueden hacer lo q quieran editando el "ID_MEMBER"

Gracias desde ya!

pateketrueke · #2 (**permalink**) 05/03/2009, 10:35

pues... de hecho, hidden es oculto...

por lo tanto, no puedes ocultar mas estos controles... si te preocupa que alteren esto manualmente con lo que sea....

prueba, guardar estos datos en sesion... es mas sencillo, suerte!

gohanjaja · #3 (**permalink**) 05/03/2009, 10:40

Cita:

Iniciado por pateketrueke

pues... de hecho, hidden es oculto...

por lo tanto, no puedes ocultar mas estos controles... si te preocupa que alteren esto manualmente con lo que sea....

prueba, guardar estos datos en sesion... es mas sencillo, suerte!

Como puedo hacer amigo ... gracias por responderme!!

gohanjaja · #4 (**permalink**) 05/03/2009, 11:00

Perdón por hacer 2 post.. de lo mismo.. pero quisiera saber si alguien puede ayudarme...
lo que hace el "hacker para comentar en mi web es ésto"..

i41.tinypic.com/10qgdhd.jpg

Puede editar tranquilamente el "ID_MEMBER"
y poner el número 1 .. osea el " admin " ... Y comentar con mi cuenta de admin.

Eh buscando en otro sitio del mismo q uso yo.. lo ocultaron ...

44.tinypic.com/2ccuihl.jpg

Me gustaría que quedará así, asi esos "hackers" no entran a comentar en mi web bardeando o posteando todos los dias cosas morbo.

Eh buscando el codigo de mi "display" y encontre esto...

<input type="hidden" name="ID_TOPIC" value="', $context['current_topic'], '" />
<input type="hidden" name="ID_BOARD" value="'.$message['board']['id'].'" />
<input type="hidden" name="ID_MEMBER" value="' . $context['user']['id'] . '" />

Estoy segurisimo q tengo q ocultar los 2 últimos renglones, pero nose cual es la manera..
Se agradece desde ya cualquier ayuda!!!

pateketrueke · #5 (**permalink**) 05/03/2009, 11:03

simplemente no puedes ocultarlo mas.... es imposible!

como te he dicho, no se si es mas sencillo guardar tu variable en sesión....

tu eliges, tan solo... debes documentarte bien, suerte!

http://php.net/session

PDTA: no envíes MP solo para asegurar el tema... hazlo publico!

David · #6 (**permalink**) 05/03/2009, 11:04

Eso que estás haciendo es muy inseguro, el ID_MEMBER deberías guardarlo en una variable de sesión en el servidor y no del lado del cliente, ya que podrán modificarlo fácilmente.

gohanjaja · #7 (**permalink**) 05/03/2009, 11:08

Cita:

Iniciado por David el Grande

Eso que estás haciendo es muy inseguro, el ID_MEMBER deberías guardarlo en una variable de sesión en el servidor y no del lado del cliente, ya que podrán modificarlo fácilmente.

Pero si los saco de ahi, ya no podrian comentar...
Lo q estoy usando es un SMF modificado..

David · #8 (**permalink**) 05/03/2009, 11:09

Como te dije, guárdalos en una variable de sesión, no del lado del cliente, de lo contrario seguirás teniendo problemas.

GatorV · #9 (**permalink**) 05/03/2009, 11:27

Temas unidos, por favor NO dupliques temas.

DarkJ · #10 (**permalink**) 05/03/2009, 13:08

Cita:

esta parte de mi codigo smf

¿Estas diciendo que eso es codigo del simple machines forum (www.simplemachines.org)? Si es asi, 2 cosas:

1 La pregunta deberia ir en el foro de prefabricados.

2 Corre lejos, muy lejos, de un script que usa un codigo tan inseguro. Porque aunque sea alguna opcion que se controle desde el panel, es una idea tan mala que no deberia estar implementada.

alfrevolution · #11 (**permalink**) 05/03/2009, 13:14

OCULTAR UN HIDDEN???

Eso es como ocultar la nada

Los input hidden son invisibles.

Triby · #12 (**permalink**) 05/03/2009, 13:21

Como es que un sistema de comentarios necesita recibir por formulario la identificacion de quien esta publicando algo? y, peor aun... como es que ese sistema de comentarios no verifica la sesion del usuario antes de publicar algo?

Cita:

Iniciado por DarkL

Corre lejos, muy lejos, de un script que usa un codigo tan inseguro

Secundo la mocion.

gohanjaja · #13 (**permalink**) 05/03/2009, 15:34

Disculpen el codigo es así...

Cita:

echo'<label id="error"></label><br><input class="login" type="submit" name="post" id="post" value="Enviar Comentario" onclick="return errorrojo(this.form.comentario.value);" tabindex="2" />
<input type="hidden" name="ID_TOPIC" value="', $context['current_topic'], '" />
<input type="hidden" name="ID_BOARD" value="'.$message['board']['id'].'" />
<input type="hidden" name="ID_MEMBER" value="' . $context['user']['id'] . '" />

pero no esta oculto, cualquiera puede editarmelo con Tamper data.
Alguno puede desirme en q parte esta mal el codigo??

gohanjaja · #14 (**permalink**) 06/03/2009, 20:44

Alguien plz... :((

shaggikpo · #15 (**permalink**) 07/03/2009, 10:34

gente gente el chico dice que le editan los datos de la sesion con tamper data
una especie de editor de cokkies a alog pareciido yo tuebe un problem a similar pero la solucion ne es valida para tu caso pues mi proble era con la conosida muweb 0.8 el ma cual atrves de un addon de firefox editaban las cokkies y se logeaban como administrador en el panel de la web mi solucion fuc simple restringi el accesoa a esa pagina atraves de .htaccess con la direciva
deny from all
allow from 127.0.0.1
pero eso no es aplicable en tu caso
otra cosa yo tengo un foro con smf y eso no se puede hacerser en mi foro pues al tratar de replicar tu caso me aparace algo simila a la segunda imagen que posteaste
segura que es un smf origina y no modificado por un tercero?

franco190453 · #16 (**permalink**) 07/03/2009, 16:01

gohanjaja:

Considerando que las variable son del tipo
hidden o escondidas y que tu las asignas
Y NO el usuario, entonces ->
Puedes hacer esto:
1.- En un archivo php inicias sesiones.
session_start();
2.- Guardas un enlace de tipo que muestro
en una variable de sesion.
$_SESSION['url'] = "
http://tuweb/comentario/enviar/index.php?ID_TOPIC=$context['current_topic]&ID_BOARD=......
";
3.- La llamas asi ->
echo "<br><a href=\"$_SESSION['url']\">PROCEDER<a/>";

Saludos
Franco

shaggikpo · #17 (**permalink**) 08/03/2009, 18:50

Cita:

Iniciado por gohanjaja

Pero si los saco de ahi, ya no podrian comentar...
Lo q estoy usando es un SMF modificado..

mira amigo es asi de simple como tu dices

Cita:

Iniciado por gohanjaja

Lo q estoy usando es un SMF modificado..

NO uses un CMS modificado NUNCA y menos si no sabes e quein es la modificacion usa un SMF ORIGINAL los CMS modificdos no son confiable

Phobos91 · #18 (**permalink**) 14/03/2009, 12:21

Ya te dí la solución en otro foro, pero la pongo acá también por si alguien la necesita:

1) Abrir el archivo "Display.template.php" con un editor de texto.
2) Eliminar las líneas 259 y 260.
3) Guardar.

Saludos!