Баг репорты к проекту по тестированию mrboating.com

Межсайтовый скриптинг (XSS)
ссылка

Andreyik, описание найденных мною ошибок находятся на предыдущих страницах
Zionit, просто весь ваш багтрак описывается много компактнее и больше займет время на его разбор
Ну и уж если вам так нравится писать
Цитата:

Некорректный запрос приводит к ошибке сервера:
ссылка;

вы бы хоть писали, что вы сделали для ее получения

ссылка
тоже

ссылка
тоже

ссылка
тоже

Цитата ("SolNikolay"):

Andreyik, описание найденных мною ошибок находятся на предыдущих страницах
Zionit, просто весь ваш багтрак описывается много компактнее и больше займет время на его разбор
Ну и уж если вам так нравится писать
Цитата:

Некорректный запрос приводит к ошибке сервера:
ссылка;

вы бы хоть писали, что вы сделали для ее получения

везде подставляю какуюнибудь скобочку в запрос и всё

XSS
ссылка

ссылка

ссылка

ссылка


Аналог кода, что я советую в PHP

function check_xss () 

{

	$url = html_entity_decode(urldecode($_SERVER));


	if ($url) 

	{

		// Лучше запретить всё кроме буков, цыфр и знаков "?" "=" "." "&" "#"

		if ((strpos($url, '<') !== false) || (strpos($url, '>') !== false) || (strpos($url, '"') !== false) || (strpos($url, './') !== false) || (strpos($url, '../') !== false) || (strpos($url, '\'') !== false) || (strpos($url, '.php') !== false)) 

		{

			die("Hackers in the forest?!");

		}


	}

}

Zionit, там ASP.NET, поэтому смысла в Вашем куске кода - почти никакого.

Цитата ("stanma"):

Zionit, там ASP.NET, поэтому смысла в Вашем куске кода - почти никакого.

я дал аналог, АСП я незнаю, потому пример на PHP

В скрипте на покупку ссылка

Все переменные проверяются. Однако если после запроса в урле именить поля country, priceto, pricefrom, lengthto, lengthfrom, type, age, measure.

Соответственно это приводит к ошибке в скрипте и выводе не нужной пользователю информации. Я бы порекомндовал сделать свою страницу 404 и принудительно переводить на карту сайта.


Тоже самое ссылка;

И ещё бы я при регистрации при выборе russia federation в графе states прописал все наши федеральные округа. Но это лично моё мнение.

Тоже

ссылка;
ссылка;
ссылка;

При запросе не сушествуюшей страницы я бы перекидывал на главную или карту сайта

ссылка

Страница сушествует ссылка

При изменении параметра master-page выводится не нужная пользователю отладочная информация

ссылка;

Не фильтруется параметр id

ссылка

Не фильтруется параметр type

ссылка;

Не фильтруется параметр country

ссылка;

параметр state фильтруется

Не фильруется параметр master-page

ссылка

При изменении ошибка с отладочной информацией


Собственно это на каждой странице Print Version

Не фильруется параметр tariff_plan_id

ссылка

Со страницы ссылка не работает ссылка

Change your Price Plan

Выдает The page cannot be found

На странице

ссылка

Очень не красиво сделан ява скрипт. При нажатии на кнопку он как бы перескакивает из за разного количества полей.

При возврате пароля непонятно пароль сменился или нет ссылка

И я бы ввел некоторые условия на сброс пароля

Так поехали по тихоньку....

Цитата:

1)

http://www.mrboating.com/vessels-for-sale/search-result?measure=0&currency=1&age=1&model=234234&type=291876383487&lengthfrom=234&lengthto=234&pricefrom=USD&priceto=2342342&country=292114410239

Exception Details: System.FormatException: Input string was not in a correct format.

Цитата:

2)

http://www.mrboating.com/services/appraise?urlid=usd

Exception Details: System.FormatException: Input string was not in a correct format.

Цитата:

3)

ссылка

Exception Details: System.ArgumentNullException: Value cannot be null.

CGator.Web.MasterPages.CGAspMasterPageWriter..ctor(CGProcessorMasterPage masterProcessor, String MasterPageFile, Boolean Debug, Boolean HaveMasterPage, Boolean MasterPageHaveForm) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGPageBuilder.vb:266

   CGator.Web.MasterPages.CGMasterPageBuilder.SaveMasterPageToFile() in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGPageBuilder.vb:84

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:58

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

Цитата:

4)

ссылка

Exception Details: System.Web.HttpException: '/_master/yachts/Yachts Shop/_vessels-for-rent_search-result?type=291874286335.master' is not a valid virtual path.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   System.Web.VirtualPath.Create(String virtualPath, VirtualPathOptions options) +3527543

   System.Web.UI.Page.set_MasterPageFile(String value) +79

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:52

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

Как миниму /_master/yachts/Yachts Shop/_common_template_print.master файл мы уже наковыряли.. жаль что ничего с ним не сделали...

Цитата:

5)

ссылка

Exception Details: System.Web.HttpException: '/_master/yachts/Yachts Shop/_vessels-for-rent_search-result?type=291874286335.master' is not a valid virtual path.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   System.Web.VirtualPath.Create(String virtualPath, VirtualPathOptions options) +3527543

   System.Web.UI.Page.set_MasterPageFile(String value) +79

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:52

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

Как миниму /_master/yachts/Yachts Shop/_common_template_print.master файл мы уже наковыряли.. жаль что ничего с ним не сделали...

Цитата:

6)

http://www.mrboating.com/services/appraise/?master-page=%3E/vessels-for-rent/search-result?type=291874286335&country=292115458815&state=291875334911 

Exception Details: System.Web.HttpException: '/_master/yachts/Yachts Shop/>_vessels-for-rent_search-result?type=291874286335.master' is not a valid virtual path.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   System.Web.VirtualPath.Create(String virtualPath, VirtualPathOptions options) +3527543

   System.Web.UI.Page.set_MasterPageFile(String value) +79

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:52

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521



Version Information: Microsoft .NET Framework Version:2.0.50727.42; ASP.NET Version:2.0.50727.42 

Ребята по кавыряй те вот этот код ..Я к тестерам обращиюсь может получится файл создать или что то вроде того .. как нибуть с командной строкой помутите...

Цитата:

7)

ссылка

Exception Details: System.ArgumentException: Illegal characters in path.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   System.IO.Path.CheckInvalidPathChars(String path) +2845902

   System.IO.Path.NormalizePathFast(String path, Boolean fullCheck) +106

   System.IO.Path.GetFullPathInternal(String path) +45

   System.IO.Path.GetFullPath(String path) +33

   System.Web.Util.FileUtil.IsSuspiciousPhysicalPath(String physicalPath, Boolean& pathTooLong) +50

   System.Web.Util.FileUtil.IsSuspiciousPhysicalPath(String physicalPath) +23

   System.Web.Configuration.MetabaseServerConfig.MapPathCaching(String siteID, VirtualPath path) +513

   System.Web.Configuration.MetabaseServerConfig.System.Web.Configuration.IConfigMapPath.MapPath(String siteID, VirtualPath vpath) +9

   System.Web.Hosting.HostingEnvironment.MapPathActual(VirtualPath virtualPath, Boolean permitNull) +163

   System.Web.VirtualPath.MapPathInternal() +41

   System.Web.HttpRequest.MapPath(VirtualPath virtualPath, VirtualPath baseVirtualDir, Boolean allowCrossAppMapping) +122

   System.Web.HttpServerUtility.MapPath(String path) +60

   CGator.Web.CGBasePage2.get_MasterFilePath() in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:41

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:54

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

Цитата:

8)

ссылка

Exception Details: System.InvalidCastException: Cannot cast mTemplateContext.TypeProcessor to type CGProcessorMasterPage.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   CGator.Web.MasterPages.CGMasterPageBuilder.GetMasterPageContext(CGRequestContext pageContext, String masterPageUrl) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGPageBuilder.vb:105

   CGator.Web.MasterPages.CGMasterPageBuilder.GetProcessorMasterPage(CGRequestContext pageContext, String masterPageUrl) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGPageBuilder.vb:112

   CGator.Web.MasterPages.CGMasterPageBuilder.SaveMasterPageToFile() in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGPageBuilder.vb:63

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:58

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

/quote]



Цитата:

9)

ссылка

Exception Details: System.ArgumentException: Illegal characters in path.

   System.IO.Path.CheckInvalidPathChars(String path) +2845902

   System.IO.Path.NormalizePathFast(String path, Boolean fullCheck) +106

   System.IO.Path.GetFullPathInternal(String path) +45

   System.IO.Path.GetFullPath(String path) +33

   System.Web.Util.FileUtil.IsSuspiciousPhysicalPath(String physicalPath, Boolean& pathTooLong) +50

   System.Web.Util.FileUtil.IsSuspiciousPhysicalPath(String physicalPath) +23

   System.Web.Configuration.MetabaseServerConfig.MapPathCaching(String siteID, VirtualPath path) +513

   System.Web.Configuration.MetabaseServerConfig.System.Web.Configuration.IConfigMapPath.MapPath(String siteID, VirtualPath vpath) +9

   System.Web.Hosting.HostingEnvironment.MapPathActual(VirtualPath virtualPath, Boolean permitNull) +163

   System.Web.VirtualPath.MapPathInternal() +41

   System.Web.HttpRequest.MapPath(VirtualPath virtualPath, VirtualPath baseVirtualDir, Boolean allowCrossAppMapping) +122

   System.Web.HttpServerUtility.MapPath(String path) +60

   CGator.Web.CGBasePage2.get_MasterFilePath() in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:41

   CGator.Web.CGBasePage2.Page_PreInit(Object sender, EventArgs e) in Q:\CGator\CGator.project\CGWeb\page\masterpages\CGBasePageEx.vb:54

   System.Web.UI.Page.OnPreInit(EventArgs e) +2009804

   System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint) +521

/quote]



Цитата:

u]10)

ссылка

Description: HTTP 404. The resource you are looking for (or one of its dependencies) could have been removed, had its name changed, or is temporarily

Server Error in '/' Application.

The resource cannot be found.

Description: HTTP 404. The resource you are looking for (or one of its dependencies) could have been removed, had its name changed, or is temporarily unavailable.  Please review the following URL and make sure that it is spelled correctly.


Requested URL: /brokers-and-marines/default.aspx


Version Information: Microsoft .NET Framework Version:2.0.50727.42; ASP.NET Version:2.0.50727.42 

/quote]


Цитата:

11)

ссылка

Exception Details: System.NotImplementedException: The method or operation is not implemented.

Source Error:


An unhandled exception was generated during the execution of the current web request. Information regarding the origin and location of the exception can be identified using the exception stack trace below.


Stack Trace:



   CGator.Web.CGFrontModule.GoToFatalErrorPage(Exception ex, HttpContext context) in Q:\CGator\CGator.project\CGWeb\common\CGFrontModule.vb:147

   CGator.Web.CGFrontModule.Application_PostAuthenticateRequest(Object source, EventArgs e) in Q:\CGator\CGator.project\CGWeb\common\CGFrontModule.vb:129

   System.Web.SyncEventExecutionStep.System.Web.HttpApplication.IExecutionStep.Execute() +92

   System.Web.HttpApplication.ExecuteStep(IExecutionStep step, Boolean& completedSynchronously) +64

/quote]

blizstrike, почти все, что Вы указали - уже описано до Вас раньше. Читайте внимательно.