Look this code: if ( isset( $_POST[‘cartflows-action-nonce’] ) && ! wp_verify_nonce( sanitize_text_field( wp_unslash( $_POST[‘cartflows-action-nonce’] ) ), ‘cartflows-action-nonce’ ) ) { return; } This code was taken from a WordPress plugin with more than 100,000 active downloads, Cartflows (https://wordpress.org/plugins/cartflows/). This condition is a security validation to block CSRF, it works to …
Example: Zend I inurl:/application/configs/ intitle:index of inurl:/application/controllers/ intitle:index of filetype:ini “Bootstrap.php” (pass|passwd|password|pwd) Zend II inurl:/data/cache/ intitle:index of inurl:/module/application/ intitle:index of Laravel filetype:env intext:mail_host / “MAIL_PASSWORD” filetype:env de cima procurando por email filetype:env intext:REDIS_PASSWORD por configuração de redis filetype:env intext:”APP_ENV” inurl:readme.md intext:”Laravel” -vendor -github -gitlab -bitbucket -git -node_modules Troca o readme.md …
How does a framework work? Wikipedia says framework is … “A framework in software development, is an abstraction that joins common codes among various software projects providing a generic functionality.“ By analogy, I can suggest the operation similar to that of a wrench, as it is something that facilitates and …
Introduction: At the end of November I noticed a file-handling function in PHP that was going unnoticed by developers, perhaps because it seemed harmless. The function in question is unlink, which, for those who do not know, works to delete a file in the filesystem. It is common to worry …
Como você reagiria se encontrasse seu documento ou cartão exposto na internet? Não foi meu caso, mas poderia ser o caso de muita gente. Uma imagem me intrigou bastante na terça-feira (26/09), era uma lista com vários links de passaportes e vistos russos, ao clicar apareciam as imagens digitalizadas. …
Introduction: Some time ago I have dedicated to researching about security and vulnerabilities of WordPress plugins. And the result as we can see below is very satisfactory. I have posted and helped the community to stay a bit more secure. WpVull, site that lists vulnerabilities with a focus on WordPress. …
Sorry, this entry is only available in Brazilian Portuguese.
This is a first post written in English and probably have a grammatical error but talk to me and I set. Obeservation: This article will show two sides of the coin. One side, teatching the badness (using a tool that is in my github), other side, teach how we can mitigate the …
Esse é o primeiro post da série, fazendo mágica no wp-config. Para quem não conhece ou não esta familiarizado com o WordPress, o wp-config.php é o arquivo de configuração de do cms, que contém diversos defines para configuração da aplicação. A ideia de escrever uma sequencia de artigos relacionado a …
Fazendo algumas pesquisas me deparei com um número enormes de falhas de autenticação ou por falhas técnicas ao deixar arquivos de configurações expostos, muita das vezes são sistemas de ambiente locais sem perigo, mas outras não, deixo aqui alguma delas. Sistemas sem autenticação correta inurl:”/(adm|admin|cms)/(usuarios|usuario|noticias|noticia).(asp|aspx|php)” -github.com -code.google -googlecode -filemare.com Arquivos …
