kodların açık olmasından ziyade tüm scriptlerde tek tek xss deneyen scriptler var artık. kodları açık olup da müdahale edilemeyen pek çok yazılım var. elbette açık olması, varsa açığı tespit etmekte kolaylık sağlar. ama kodlar açıksa ve hack edilebilecek bir açık yoksa bu teorem pek de bir işe yaramaz...
zendlenmiş ve commercial (vB de commercial bir ürün) bir ürün de içinde açık varsa hacklenir.
sonuçta eleştirin, kullandığımız forum yazılımının ticari bir ürün olmasından dolayı tam yerinde değil... ama genel izlenimin elbette yüksek oranda doğru...

Konu ozgur yazilim olunca, herhangi biriyle uzun uzun tartisabilirim. Gercek "hacker"lar ozgur yazilima bayilir, cunku felsefeleri zaten bilginin ozgur olmasi. Girip site kirip mutlu olan coluk cocugun ise zaten boyle bir kavrami anlamasini beklemem ben sahsen.
Guvenlik ise kaynagin acik olmasindan cok, guvenlige ne kadar emek ve zaman harcandigi, isin ne kadar ustaca yapildigi onemli bence.

whitebox(aka clearbox)/blackbox testing olaylarına girene kadar ben de farklı düşünüyordum. ama "program yeterince secure ise kodların açık olup olmaması farketmez" çok büyük bir yanılgı, bunu şiddetle vurguluyorum.

bu senaryoda anladigim kadariyla cem yeni surume guncellemeyi ihmal etmis. bu kodun kapali ya da acikligiyla alakali degil.
cem: ref'in onerdigi search engine'de yakalanmama isini copyright yazilarini javascript'le yazdirarak cozebilirsin. gerci esas hedef bu sitenin bulunmamasi degil bulunup yeni scener'lar kazandirmasi ise onun yerine siteyi daha sik guncellemek daha iyi olacaktir herhalde 🙂
ornek:

<script type="text/javascript">document.write(unescape('%3C%73%63%72%69%70%74%20%6C%61%6E%67%75%61%67%65%3D%22%6A%61%76%61%73%63%72%69%70%74%22%3E%66%75%6E%63%74%69%6F%6E%20%64%46%28%73%29%7B%76%61%72%20%73%31%3D%75%6E%65%73%63%61%70%65%28%73%2E%73%75%62%73%74%72%28%30%2C%73%2E%6C%65%6E%67%74%68%2D%31%29%29%3B%20%76%61%72%20%74%3D%27%27%3B%66%6F%72%28%69%3D%30%3B%69%3C%73%31%2E%6C%65%6E%67%74%68%3B%69%2B%2B%29%74%2B%3D%53%74%72%69%6E%67%2E%66%72%6F%6D%43%68%61%72%43%6F%64%65%28%73%31%2E%63%68%61%72%43%6F%64%65%41%74%28%69%29%2D%73%2E%73%75%62%73%74%72%28%73%2E%6C%65%6E%67%74%68%2D%31%2C%31%29%29%3B%64%6F%63%75%6D%65%6E%74%2E%77%72%69%74%65%28%75%6E%65%73%63%61%70%65%28%74%29%29%3B%7D%3C%2F%73%63%72%69%70%74%3E'));dF('%264DTDSJQU%2631MBOHVBHF%264E%2633kbwbtdsjqu%2633%264F%261E%261Bepdvnfou/xsjuf%2639%2638Ufmjg%2631Iblmbs%26GE%2631wCvmmfujo%2631w4/8/1%2631%2637dpqz%264C%26313111.3119%263D%2631wf%2631%264Dcs%26310%264FKfmtpgu%2631Foufsqsjtft%2631Mue/%2638f%2631Bjuujs/%2638%263%3A%264C%261E%261B%264D0TDSJQU%264F1')</script>

ehh ben de upgrade to new patches aboneliğini devam ettirdim zaten. anlaşılan sürekli günü gününe upgrade etmek gerek bu mereti... sanırsam bilinçli olarak sürekli 1-2 kapı açık bırakıyorlar, bu sayede sürekli abone olarak kalıp, bugsız bir forumu umut etmemizden yararlanıyorlar...

update'leri parali mi yaptiriyorlar? yuh ya. ben olsam yazilimi degistiririm. bir de bir yerlere paypal donate linki koysana arada bir bu tur seylere bizim de katkimiz olsun? (paypal turkiye'ye isliyorsa tabi)

her update değil, yıllık ücret şeklinde... katkı fikri için teşekkürler, daha önce böyle bir şeye ihtiyaç duduğumda paylaşmış ve birçok katılımcıdan destek gemişti...
foruma, product üretiminin artmasıyla, yeni scener gelimesiyle destek olsanız yeter...

bence forum şu haliyle oldukça güzel, en azından ihtiyacımızı karşılıyor. bir kere çoluğun çocuğun eline düştük diye bu olayı çok da abartmayalım derim.

ajax fonksiyonlarını bir süreliğine kapattım, bu attack'lar niyeyse ajax fonksiyonlarından bazılarını kullanır oldu. ben de o dir'in permission'unu kapadım, ajax fonksiyonlarını da kaldırdım. anında reply yapamayacağız belki, ama daha secure olacağız. eğer bu halde de sataşan olursa vb'yi temiz kurmam gerekebilir (db'yi kaybetmeden elbette)...

baya buyuk bir islevsellikten fedakarlik etmisiz yav. en kullanisli ozelliklerden biriydi rahmetli quick reply.ssg

Elim hic alismamis "post reply" tusuna ya, garip geldi simdi.

bakalım... bi security eklemesi yaptım; quick reply'yi açabildik bu sayede. umarım sonumuz kötü olmaz. 😉

Ya bu olayi aslinda anlamiyorum, asagida basit bir metin kutusu birakmaktansa neden bit yerlere tiklayinca aktiflesen bir kutu kullaniliyor ki? Kimin mesajinda tikladigim farkediyor mu? Ben kime yazacaksam yazayim, en alttakine tikliyorum.

Örneğin "Quote message in reply?" checkbox'ını işaretleyecek olursan kimin mesajının yanındaki quick reply buttonuna bastıysan onun mesajını quote'luyor. Bunun haricinde bir anlamı yok elbette ki.

atiflz wrote:Ya bu olayi aslinda anlamiyorum, asagida basit bir metin kutusu birakmaktansa neden bit yerlere tiklayinca aktiflesen bir kutu kullaniliyor ki? Kimin mesajinda tikladigim farkediyor mu? Ben kime yazacaksam yazayim, en alttakine tikliyorum.

bak araya kendi mesajımı soktuktan sonra senin mesajının yanındaki quick reply'a bastım ve "Quote message in reply?"ı seçtim. sonuç olarak senin mesajın quotelandı.