Баг репорты к проекту по тестированию mrboating.com

Межсайтовый скриптинг (XSS)
посилання

Andreyik, описание найденных мною ошибок находятся на предыдущих страницах
Zionit, просто весь ваш багтрак описывается много компактнее и больше займет время на его разбор
Ну и уж если вам так нравится писать
Цитата:

Некорректный запрос приводит к ошибке сервера:
посилання;

вы бы хоть писали, что вы сделали для ее получения

посилання
тоже

посилання
тоже

посилання
тоже

Цитата ("SolNikolay"):

Andreyik, описание найденных мною ошибок находятся на предыдущих страницах
Zionit, просто весь ваш багтрак описывается много компактнее и больше займет время на его разбор
Ну и уж если вам так нравится писать
Цитата:

Некорректный запрос приводит к ошибке сервера:
посилання;

вы бы хоть писали, что вы сделали для ее получения

везде подставляю какуюнибудь скобочку в запрос и всё

XSS
посилання

посилання

посилання

посилання


Аналог кода, что я советую в PHP

function check_xss () 

{

	$url = html_entity_decode(urldecode($_SERVER));


	if ($url) 

	{

		// Лучше запретить всё кроме буков, цыфр и знаков "?" "=" "." "&" "#"

		if ((strpos($url, '<') !== false) || (strpos($url, '>') !== false) || (strpos($url, '"') !== false) || (strpos($url, './') !== false) || (strpos($url, '../') !== false) || (strpos($url, '\'') !== false) || (strpos($url, '.php') !== false)) 

		{

			die("Hackers in the forest?!");

		}


	}

}

Zionit, там ASP.NET, поэтому смысла в Вашем куске кода - почти никакого.

Цитата ("stanma"):

Zionit, там ASP.NET, поэтому смысла в Вашем куске кода - почти никакого.

я дал аналог, АСП я незнаю, потому пример на PHP

В скрипте на покупку посилання

Все переменные проверяются. Однако если после запроса в урле именить поля country, priceto, pricefrom, lengthto, lengthfrom, type, age, measure.

Соответственно это приводит к ошибке в скрипте и выводе не нужной пользователю информации. Я бы порекомндовал сделать свою страницу 404 и принудительно переводить на карту сайта.


Тоже самое посилання;

И ещё бы я при регистрации при выборе russia federation в графе states прописал все наши федеральные округа. Но это лично моё мнение.

Тоже

посилання;
посилання;
посилання;

При запросе не сушествуюшей страницы я бы перекидывал на главную или карту сайта

посилання

Страница сушествует посилання

При изменении параметра master-page выводится не нужная пользователю отладочная информация

посилання;

Не фильтруется параметр id

посилання

Не фильтруется параметр type

посилання;

Не фильтруется параметр country

посилання;

параметр state фильтруется

Не фильруется параметр master-page

посилання

При изменении ошибка с отладочной информацией


Собственно это на каждой странице Print Version

Не фильруется параметр tariff_plan_id

посилання

Со страницы посилання не работает ссылка

Change your Price Plan

Выдает The page cannot be found

На странице

посилання

Очень не красиво сделан ява скрипт. При нажатии на кнопку он как бы перескакивает из за разного количества полей.

При возврате пароля непонятно пароль сменился или нет посилання

И я бы ввел некоторые условия на сброс пароля

Так поехали по тихоньку....

Цитата:

1)

http://www.mrboating.com/vessels-for-sale/search-result?measure=0&currency=1&age=1&model=234234&type=291876383487&lengthfrom=234&lengthto=234&pricefrom=USD&priceto=2342342&country=292114410239

Exception Details: System.FormatException: Input string was not in a correct format.

Цитата:

2)

http://www.mrboating.com/services/appraise?urlid=usd

Exception Details: System.FormatException: Input string was not in a correct format.

Цитата:

3)

посилання

Exception Details: System.ArgumentNullException: Value cannot be null.

CGator.Web.MasterPages.CGAspMasterPageWriter..ctor(CGProcessorMasterPage masterProcessor, String MasterPageFile, Boolean Debug, Boolean HaveMasterPage, Boolean MasterPageHaveForm) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGPageBuilder.vb:266

   CGator.Web.MasterPages.CGMasterPageBuilder.SaveMasterPageToFile() in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGPageBuilder.vb:84

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:58

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

Цитата:

4)

посилання

Exception Details: System.Web.HttpException: '/_master/yachts/Yachts Shop/_vessels-for-rent_search-result?type=291874286335.master' is not a valid virtual path.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   System.Web.VirtualPath.Create(String virtualPath, VirtualPathOptions options) +3527543

   System.Web.UI.Page.set_MasterPageFile(String value) +79

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:52

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

Как миниму /_master/yachts/Yachts Shop/_common_template_print.master файл мы уже наковыряли.. жаль что ничего с ним не сделали...

Цитата:

5)

посилання

Exception Details: System.Web.HttpException: '/_master/yachts/Yachts Shop/_vessels-for-rent_search-result?type=291874286335.master' is not a valid virtual path.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   System.Web.VirtualPath.Create(String virtualPath, VirtualPathOptions options) +3527543

   System.Web.UI.Page.set_MasterPageFile(String value) +79

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:52

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

Как миниму /_master/yachts/Yachts Shop/_common_template_print.master файл мы уже наковыряли.. жаль что ничего с ним не сделали...

Цитата:

6)

http://www.mrboating.com/services/appraise/?master-page=%3E/vessels-for-rent/search-result?type=291874286335&country=292115458815&state=291875334911 

Exception Details: System.Web.HttpException: '/_master/yachts/Yachts Shop/>_vessels-for-rent_search-result?type=291874286335.master' is not a valid virtual path.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   System.Web.VirtualPath.Create(String virtualPath, VirtualPathOptions options) +3527543

   System.Web.UI.Page.set_MasterPageFile(String value) +79

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:52

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521



Version Information: Microsoft .NET Framework Version:2.0.50727.42; ASP.NET Version:2.0.50727.42 

Ребята по кавыряй те вот этот код ..Я к тестерам обращиюсь может получится файл создать или что то вроде того .. как нибуть с командной строкой помутите...

Цитата:

7)

посилання

Exception Details: System.ArgumentException: Illegal characters in path.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   System.IO.Path.CheckInvalidPathChars(String path) +2845902

   System.IO.Path.NormalizePathFast(String path, Boolean fullCheck) +106

   System.IO.Path.GetFullPathInternal(String path) +45

   System.IO.Path.GetFullPath(String path) +33

   System.Web.Util.FileUtil.IsSuspiciousPhysicalPath(String physicalPath, Boolean& pathTooLong) +50

   System.Web.Util.FileUtil.IsSuspiciousPhysicalPath(String physicalPath) +23

   System.Web.Configuration.MetabaseServerConfig.MapPathCaching(String siteID, VirtualPath path) +513

   System.Web.Configuration.MetabaseServerConfig.System.Web.Configuration.IConfigMapPath.MapPath(String siteID, VirtualPath vpath) +9

   System.Web.Hosting.HostingEnvironment.MapPathActual(VirtualPath virtualPath, Boolean permitNull) +163

   System.Web.VirtualPath.MapPathInternal() +41

   System.Web.HttpRequest.MapPath(VirtualPath virtualPath, VirtualPath baseVirtualDir, Boolean allowCrossAppMapping) +122

   System.Web.HttpServerUtility.MapPath(String path) +60

   CGator.Web.CGBasePage2.get_MasterFilePath() in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:41

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:54

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

Цитата:

8)

посилання

Exception Details: System.InvalidCastException: Cannot cast mTemplateContext.TypeProcessor to type CGProcessorMasterPage.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   CGator.Web.MasterPages.CGMasterPageBuilder.GetMasterPageContext(CGRequestContext pageContext, String masterPageUrl) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGPageBuilder.vb:105

   CGator.Web.MasterPages.CGMasterPageBuilder.GetProcessorMasterPage(CGRequestContext pageContext, String masterPageUrl) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGPageBuilder.vb:112

   CGator.Web.MasterPages.CGMasterPageBuilder.SaveMasterPageToFile() in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGPageBuilder.vb:63

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:58

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

/quote]



Цитата:

9)

посилання

Exception Details: System.ArgumentException: Illegal characters in path.

   System.IO.Path.CheckInvalidPathChars(String path) +2845902

   System.IO.Path.NormalizePathFast(String path, Boolean fullCheck) +106

   System.IO.Path.GetFullPathInternal(String path) +45

   System.IO.Path.GetFullPath(String path) +33

   System.Web.Util.FileUtil.IsSuspiciousPhysicalPath(String physicalPath, Boolean& pathTooLong) +50

   System.Web.Util.FileUtil.IsSuspiciousPhysicalPath(String physicalPath) +23

   System.Web.Configuration.MetabaseServerConfig.MapPathCaching(String siteID, VirtualPath path) +513

   System.Web.Configuration.MetabaseServerConfig.System.Web.Configuration.IConfigMapPath.MapPath(String siteID, VirtualPath vpath) +9

   System.Web.Hosting.HostingEnvironment.MapPathActual(VirtualPath virtualPath, Boolean permitNull) +163

   System.Web.VirtualPath.MapPathInternal() +41

   System.Web.HttpRequest.MapPath(VirtualPath virtualPath, VirtualPath baseVirtualDir, Boolean allowCrossAppMapping) +122

   System.Web.HttpServerUtility.MapPath(String path) +60

   CGator.Web.CGBasePage2.get_MasterFilePath() in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:41

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:54

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

/quote]



Цитата:

u]10)

посилання

Description: HTTP 404. The resource you are looking for (or one of its dependencies) could have been removed, had its name changed, or is temporarily

Server Error in '/' Application.

The resource cannot be found.

Description: HTTP 404. The resource you are looking for (or one of its dependencies) could have been removed, had its name changed, or is temporarily unavailable.  Please review the following URL and make sure that it is spelled correctly.


Requested URL: /brokers-and-marines/default.aspx


Version Information: Microsoft .NET Framework Version:2.0.50727.42; ASP.NET Version:2.0.50727.42 

/quote]


Цитата:

11)

посилання

Exception Details: System.NotImplementedException: The method or operation is not implemented.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   CGator.Web.CGFrontModule.GoToFatalErrorPage(Exception ex, HttpContext context) in Q:\CGator\CGator.project\CGWeb\common\CGFrontModule.vb:147

   CGator.Web.CGFrontModule.Application_PostAuthenticateRequest(Object source, EventArgs e) in Q:\CGator\CGator.project\CGWeb\common\CGFrontModule.vb:129

   System.Web.SyncEventExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute() +92

   System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously) +64

/quote]

blizstrike, почти все, что Вы указали - уже описано до Вас раньше. Читайте внимательно.