请帮忙测试网站

smallsotong

很奇怪，我居然发现没有人注册会员/卖家，
难道你们都只是在外边看看而已吗？

别担心，随便去玩，当网站正式开张时我会清理资料库的。

hcong85

Microsoft VBScript runtime error '800a01c2' Wrong number of arguments or invalid property assignment: 'getUserForm' /QiaoXinGuan/maSignUp.asp, line 35

在注册会员里看到的

smallsotong

原帖由 hcong85 于 2-4-2007 08:42 AM 发表
Microsoft VBScript runtime error '800a01c2' Wrong number of arguments or invalid property assignment: 'getUserForm' /QiaoXinGuan/maSignUp.asp, line 35

在注册会员里看到的

谢谢你，已经解决了，请再试试看好吗？

还有我也换了一点点的设计和 CSS，请问现在的版本有比之前好吗？
还有我应该补充些什么呢？

belon_cfy

１）

Microsoft JET Database Engine error '80040e21'

Field 'userMaster.phoneNo' cannot be a zero-length string.

/QiaoXinGuan/busLogic/Class/AbsClass.asp, line 76

问题所在：在注册会员的时候。 没有Validate Phone No

建议： 看来你没有做很多的Server Side的Validation， 当关闭Javascript之后很多问题就会浮现出来了， 太过依赖Java Script的Validation了。





２）
在”更换会员资料“的时候我的名字变成空的了

我的名字是　： "'""'''''

问题所在 ：没有Encode一些非一般符号的字. 比如“。 这个问题发生在你的所有Text Field， Text Area　任何有Input的地方。

建议：注意你的Encoding， 要转换成ＨＴＭＬ Special Character的代码才放进去text field, 注意" & , \ / 等等的符号。

[ 本帖最后由 belon_cfy 于 4-4-2007 12:42 AM 编辑 ]

belon_cfy

３）
问题所在　：“联系我们”的Email Sending Process（maContactMsgAdm.asp）有个漏洞，　这个漏洞可能能够造成其他人滥用你的Script来Send Spam　Mail（俗称 BCC Injection)， 最终导致你所属的Server被Black List， 然后所有Send出去的Email都会被Reject。

我测试了直接Post 一些不规则的文件到你的maContactMsgAdm.asp结果你的Script还是Process.

建议： 做好Sending的Validation（不是使用Javascript）， 一定要在ASP里做好。 这个问题应该不只发生在“联系我们”，　所有需要输入Email和有Send　Email的地方都有这个漏洞。   

Validate Sender的名字， 绝对不能够有Line Break， 一旦发现名字有Line Break就一定要终止这个程序。

Validate Sender的EMail， 绝对不能够有Line Break， 绝对要是正确的Email Address。 一旦发现名字有Line Break或EMailFormat不对就一定要终止这个程序。

以下是 轩辕皇帝大哥所发的文章， 能够参考看看， 增加网页的保安措施。

《网页教学，骇客技术与防范(TECHNIQUE AND PROTECTION)》
http://chinese.cari.com.my/myforum/viewthread.php?tid=538007

[ 本帖最后由 belon_cfy 于 4-4-2007 12:44 AM 编辑 ]

belon_cfy

4)
这个。 。不需要我解释了，　用我的Username和Password　Login进去看我的“会员资料”就知道什么问题。

Email ：beloncfy@yahoo.com
Password ：123123

这个漏洞应该会存在所有的产品介绍和所有用到Text Box或者Text Area的地方.轻则锁着Browser，　重则可能造成Server被自己的Script　DDOS。。。。。。。。。。

不好意思，　没空继续帮你测试了，　你需要寻找更专业的测试人员来严格的测试整个系统。目前的漏洞还算不少，　应该还有一些潜在的Bugs或者漏洞吧！

[ 本帖最后由 belon_cfy 于 4-4-2007 08:47 AM 编辑 ]

tensaix2j

原帖由 <i>belon_cfy</i> 于 4-4-2007 12:21 AM 发表<br />
３）<br />
问题所在　：“联系我们”的Email Sending Process（maContactMsgAdm.asp）有个漏洞，　这个漏洞可能能够造成其他人滥用你的Script来Send Spam　Mail（俗称 BCC Injection)， 最终导致你所属的Server被Bl ...

<br />

刚试了。。好象不行。。。

belon_cfy

原帖由 tensaix2j 于 4-4-2007 11:32 AM 发表
<br />

刚试了。。好象不行。。。

这个我也不肯定，　只是提醒楼主可能会有这个问题，　还有就是我随便Post也会Process。。。因为不是直接从他的Form　Post过去的。

smallsotong

原帖由 belon_cfy 于 4-4-2007 12:08 AM 发表
建议： 看来你没有做很多的Server Side的Validation， 当关闭Javascript之后很多问题就会浮现出来了， 太过依赖Java Script的Validation了。

建议：注意你的Encoding， 要转换成ＨＴＭＬ Special Character的代码才放进去text field, 注意" & , \ / 等等的符号。

对，我承认只做了一点、有些根本没有做 ServerSide 的 Validation。
因为我不知道JavaScript 是可以关闭的，不好意思，呵呵。。。
现在已努力把可以找到的都做了“不许留空白”和伊妹儿检查的更改，除了这个还需要注意些什么？
我没有检查 Line Break ，因为我都有 Trim()，然后再检查“不许留空白”。

还有我也已经把 ‘ # “ & ( ) ，\ 全部Remove 清掉了。
而且也严格的检查，然后Remove 掉所有的 HTML (bgsound, form, input, script, 等等一大堆)

原帖由 belon_cfy 于 4-4-2007 12:21 AM 发表
问题所在　：“联系我们”的Email SendingProcess（maContactMsgAdm.asp）有个漏洞，　这个漏洞可能能够造成其他人滥用你的Script来SendSpam　Mail（俗称 BCC Injection)， 最终导致你所属的Server被Black List，然后所有Send出去的Email都会被Reject。

其实 maContactMsgAdm.asp 不是伊妹儿来的，请你试试用这个 BCC Injection 来 hack 这页 maSendSpec.asp (是伊妹儿来的) 好吗？然后请告诉我结果。
也请 tensaix2j 大大试一下。

原帖由 belon_cfy 于 4-4-2007 12:21 AM 发表
以下是 轩辕皇帝大哥所发的文章， 能够参考看看， 增加网页的保安措施。
《网页教学，骇客技术与防范(TECHNIQUE AND PROTECTION)》
http://chinese.cari.com.my/myforum/viewthread.php?tid=538007

这个大哥的贴我已经努力爬过了，也做了少许的更改。

谢谢大家，不过仍请大家再帮忙 Test 网站。

ww2020

很好的网站，我也想做这样的。

smallsotong

原帖由 ww2020 于 8-4-2007 10:26 PM 发表
很好的网站，我也想做这样的。

你也想做这样的网站吗？
请问你的 Ideals 是？