KeyFansClub
Prz - 2004/10/6 13:08:00
<img border="0" src="javascript:eval('window.open(\'http://www.keyfc.net/bbs/articlepay.asp?articleid=47695\');document.imanges(\'portrait/USER_966.gif\')')" width="20"> <---- 证据在此，MDK居然把头像改成这个...... -_-
每一个人看到他的头像就会弹出窗口，购买他的骗钱贴..........!!!居然如此险恶的，明目张胆的抢所有KeyFC Fans的钱！！！
强烈建议管理员限制MDK不准使用头像，并把他的活动范围限定到土豆星....(爆)
zhangmdk - 2004/10/6 13:16:00
－v－ 早就改过来了～～
其实这个问题TAI已经解决了，没想到速度这麽快（爆 － －|||
而且那个价位是特别为你定制的……就算别人打开也没那么多钱啊 XD
我是通过伪造ID的方式骗去你的钱的 － －|||
需要的话，可以还给你。
PS：伪造ID和论坛BUG无关，这个论坛验证很严密，绝对的严密，这次伪造纯属偶然成功。
zhangmdk - 2004/10/6 13:17:00
不过，我承认这次玩的过激了………… － －|||
认错
Taishen - 2004/10/6 13:21:00
mdk好厉害，玩这个论坛玩得比我这个设计者还要熟练自如……|||
顺便问一下，伪造id是指什么？？
zhangmdk - 2004/10/6 13:24:00
伪造ID…………
类似于COOKIE伪造……
因为后来SESSION验证的出现，让伪造ID难度加大了不少。
不过没想到你居然是两个一起来 － －|||
实际上就是伪造了MAGI-II君的COOKIE和SESSION，绕过了论坛验证……
这个和你的验证程序无关，纯属我RP的问题……………… － －||
不过通过这一点，我真的很佩服TAI兄，虽然玩BUG测试很多，但是真正写ASP程序，我太面了……
-v- 用户查看代码被屏蔽了？
Taishen - 2004/10/6 14:11:00
其实应该还是可以伪造的……因为KFC允许多重登录(当初设计KFCBBS的时候确实很希望有这个功能，现在倒是真的派上用场了，那些合体ID……-v-|||)，不过也正因如此，使得KFC的ID真的可以通过盗取COOKIE来冒充，但冒充者的活动能力会受到不少限制，比如说，冒充者不可能更改这个盗取回来的ID的密码，并且当此ID的主人退出了登录后，冒充者的身份马上就会被KFCBBS否认(因此对KFC来说，退出登录是一个好习惯)，所以ID的主人只要重新设置密码就可以很简单地把自己的ID夺回。这些隐患可能在其它的论坛系统里很容易就能避免的，但KFC不能，所以说为了实现多重登录KFC牺牲了一定的安全性……
呵呵，mdk发现了一个我一直都没在意的UBB代码漏洞，那就是HTML的IMG标签源地址里竟然可以嵌入脚本，嗯，现在我已经修正了这个问题了，本来说这些东西要过滤掉只是很简单的事情，但我是不希望把本体内容过滤得太厉害的，像动网那样有时自己发的帖子自己也会认不出来的那就恐怖了……我的原则就是在保证安全性的前提下尽最大的能力保持帖子内容的原味。。
valleyforge - 2004/10/6 14:30:00
无敌了……= =
刚次感觉到了……一直想不出是怎么做到的= =
p.s. 我免过滤列表里有这个……http://www.keyfc.net/* -v-
Prz - 2004/10/6 14:41:00
-_-||||||||||||||||| 看到了........
本想改Cookie的，结果发现SessionID已经飞到乌拉国去了......算了，今天就不玩了，下次有机会再来教训你个JS! -_-bbbbb
P.S. 偷了我多少如数还来..... -_-
Prz - 2004/10/6 14:55:00
以下引用Taishen在2004-10-6 14:11:54的发言：
其实应该还是可以伪造的……因为KFC允许多重登录(当初设计KFCBBS的时候确实很希望有这个功能，现在倒是真的派上用场了，那些合体ID……-v-|||)，不过也正因如此，使得KFC的ID真的可以通过盗取COOKIE来冒充，但冒充者的活动能力会受到不少限制，比如说，冒充者不可能更改这个盗取回来的ID的密码，并且当此ID的主人退出了登录后，冒充者的身份马上就会被KFCBBS否认(因此对KFC来说，退出登录是一个好习惯)，所以ID的主人只要重新设置密码就可以很简单地把自己的ID夺回。这些隐患可能在其它的论坛系统里很容易就能避免的，但KFC不能，所以说为了实现多重登录KFC牺牲了一定的安全性……
呵呵，mdk发现了一个我一直都没在意的UBB代码漏洞，那就是HTML的IMG标签源地址里竟然可以嵌入脚本，嗯，现在我已经修正了这个问题了，本来说这些东西要过滤掉只是很简单的事情，但我是不希望把本体内容过滤得太厉害的，像动网那样有时自己发的帖子自己也会认不出来的那就恐怖了……我的原则就是在保证安全性的前提下尽最大的能力保持帖子内容的原味。。 |
晕倒..............................
............................再次晕倒.......................
/me 把脑袋撞向墙壁........
/me 感叹道....唉，以前读了那么多书，全白费了......无数经典的hacker故事里面唯一的共同之处----得手以后立刻撤退----竟然被我忘了.......看来我的却是一时得意忘形了，居然缪点注销..... >_<
芽依子 - 2004/10/6 17:33:00
看到MAGI II的KP只剩下75.....
Buenos - 2004/10/6 17:33:00
ｋｐ接近３００００…… －皿－！
芽依子 - 2004/10/6 17:35:00
MDK这个JS迟早拿下我这个KFC首富的头衔........
芽依子 - 2004/10/6 17:37:00
以下引用Buenos在2004-10-6 17:33:45的发言：
ｋｐ接近３００００…… －皿－！ |
短时间内赚了N万.....这个真是太JS了.....
这个不算 - 2004/10/6 18:12:00
用这个ID上...似乎对我没什么效果的样子
上了就说你的钱不够..捏哈哈
zhangmdk - 2004/10/6 18:13:00
－v－|||
这次接近抢钱行动了…………
在这里再向MAGI-II道歉一次吧～ KP奉还
芽依子 - 2004/10/6 19:03:00
以下引用zhangmdk在2004-10-6 18:13:54的发言：
－v－|||
这次接近抢钱行动了…………
在这里再向MAGI-II道歉一次吧～ KP奉还 |
道歉无用了,你还是快点把KP还给MAGI II吧,毕竟她那么辛苦赚来的钱.
粘土火星 - 2004/10/6 19:16:00
一夜暴富啊……
看我辛辛苦苦赚钱……
芽依子 - 2004/10/6 19:29:00
我也是辛辛苦苦推行资本主义提供优质商品赚来的血汗钱
zhangmdk - 2004/10/6 19:32:00
- -
怎么说得我好像只开JS帖似的…………
好歹我也正经卖过同人游戏的说……
芽依子 - 2004/10/6 19:37:00
以下引用zhangmdk在2004-10-6 19:32:56的发言：
- -
怎么说得我好像只开JS帖似的…………
好歹我也正经卖过同人游戏的说…… |
那是支流,你卖JS贴却是主流.
scegg - 2004/10/6 19:44:00
KFC2安全性广告：
1 几乎所有行为需要明文提供账号和密码，不接受COOKIE。
2 购买帖子后，发贴人或管理员有权利退款。
3 不支持多ID登入，换而采用快速用户切换功能。（*）
4 退出程序时自动登出。（*）
标记*的仅在客户端中实现。
真米神三人组 - 2004/10/6 19:46:00
归还MAGI2和MDK原本属于自己的KP...-_-b
至于管理员被骗去的就算数了……
芽依子 - 2004/10/6 19:49:00
好.....KFC2就要安全性高点....
zhangmdk - 2004/10/6 22:57:00
CS模式安全性满点的说……………………甚至连你运行什么程序都能给你控制住 － －|||
不过不采用COOKIE的话，是不是会有些不方便呢？ － －
KP的问题已经告诉MAGI-II了，等他他帖我买
zhangmdk - 2004/10/6 23:00:00
以下引用真米神三人组在2004-10-6 19:46:58的发言：
归还MAGI2和MDK原本属于自己的KP...-_-b
至于管理员被骗去的就算数了…… |
算数了么？ － －
算数的话应该有4*1111＋1*4444＝8888KP的进帐啊……
Prz - 2004/10/6 23:05:00
....楼上....真米神已经发威了..... >_<
还有，人家scegg的意思估计是，SessionID将不再起作用，Cookie里面装的是你本人的用户密码，每次操作都需要直接对比密码，这样你的猜SessionID大法就失灵了... LOL
但是，这样做会导致数据库的流量和操作次数大大增加..........我觉得不妥，最好的办法是，对Cookie进行全文加密，或者在cookie里面附加内容数字签名，这样cookie就不可改了。
Prz - 2004/10/6 23:09:00
还在想钱........小心我再让你买20000KP的东西....然后注销，永远不再登陆，换个MAGI-IV的帐号登陆.... >_<
粘土火星 - 2004/10/6 23:32:00
以下引用MAGI-II在2004-10-6 23:09:02的发言：
还在想钱........小心我再让你买20000KP的东西....然后注销，永远不再登陆，换个MAGI-IV的帐号登陆.... >_< |
这人从昨天开始不知道吃错什么药了……无视
Taishen - 2004/10/6 23:36:00
是5×1111＋4444KP…………全扣起了，王二的已经归还，管理员的就充公算了=v=|||
MAGI2要不要把帐号改名为MAGI4呢？呵呵...
芽依子 - 2004/10/6 23:50:00
以下引用Taishen在2004-10-6 23:36:06的发言：
是5×1111＋4444KP…………全扣起了，王二的已经归还，管理员的就充公算了=v=|||
MAGI2要不要把帐号改名为MAGI4呢？呵呵... |
可以改ID???我也想把自己的ID改为"芽依子"....(爆)///