Faille de sécurité facture dans phpmyshop

Répondre


Cette question est un moyen d’empêcher des soumissions automatisées de formulaires par des robots.
Smileys
:D :) :( :o :shock: :? 8-) :lol: :x :P :oops: :cry: :evil: :twisted: :roll: :wink: :!: :?: :idea: :arrow: :| :mrgreen: =D> #-o =P~ :^o :non: :priere: 8-|
Voir plus de smileys
  Revue du sujet
 

  Étendre la vue Revue du sujet : Faille de sécurité facture dans phpmyshop

par Invité » 27 oct. 2005, 18:17

Si tu cherches un script mieux fait de e-boutique, regarde du coté de Zen-Cart. Par contre, tout est en anglais, moins facile à suivre encore, mais beaucoup plus sécuritaire et complet.
Le Error reporting est forcé dans Zen-cart, ce qui fait qu'effectivement, quelle que soit ta config, aucune erreur n'apparait. Si tu supprimes la ligne correspondante, les notices s'affichent par dizaines... :wink:

par Emma » 26 oct. 2005, 17:05

Moi, j'ai mis le nez dans phpshop et... disons que ça tourne "correctement" si les register_globals sont sur ON. (j'ai mis des guillemets, hein :wink: )
Et quand on les passe sur OFF, c'est la cata, y a évidemment plus rien qui marche.
P'tite question aux super-pros du forum : en faisant des recherches sur comment gérer ce rogntudgu de passage des registers_globals de ON à OFF, j'ai trouvé ce bout de script :
<?
$tab_variables = array('variable1', 'variable2');
foreach ($tab_variables as $nom_variables) {
if (isset($_GET[$nom_variables])) {
$$nom_variables = $_GET[$nom_variables];
} else {
$$nom_variables = '';
}
}
?>
Où le _GET peut être remplacé par _REQUEST pour évter de tester toutes les variables...

Qu'en pensez-vous, est-ce que ça peut réellement régler ce problème ?

Merci beaucoup d'avance :merci:

PS est-ce que, par exemple, ça réglerait sérieusement le cas pour Oscommerce ?

par Moho » 18 oct. 2005, 18:28

Bon...

Juste pour dire que finalement c'est PHPMyShop qui s'avère être le plus interessant...
OSCommerce est vraiment une usine a gaz... plus rien n est "facilement" configurable! D un autre côté cela peut etre sympa pour une personne qui ne souhaite pas regarder un peu du côté du code ;)

Par contre, si quelqu'un a mis un peu les pieds dans PHPMyShop, cela serait sympa de me dire les problèmes qu il a vue... pour corriger un peu le code et éviter les problèmes!

En fait j avais besoin surtout d'une base... et ensuite j ai modifié en fonction de mes besoins ;)

par Cyrano » 06 oct. 2005, 15:26

La qualité du code bien entendu : même si osCommerce requiert un register_globals à ON, c'est malgré tout codé sérieusement, quoique ça commence à dater un peu.

L'installation de phpMyShop sur ma machine a révélé un nombre de notices, warning et autres messages du genre tout à fait impressionant et il faudrait reprendre tout le code pour mettre ça au propre.

J'ajouterais qu'en matière de fonctionalités, phpMyShop n'a rien à offrir. Entre le "trop" de osCommerce et le "pas assez de phpMyShop, je crois qu'il y a un intermédiaire raisonnable à demander à ce genre d'application ;)

par pjl » 06 oct. 2005, 15:07

:-k
tu parles du nom ou de la qualité du code ?

par Cyrano » 06 oct. 2005, 13:28

lol, la marge entre osCommerce et phpMyShop est, comment dire...., ha oui : abbyssale :langue:

par pjl » 06 oct. 2005, 12:43

Sinon, il y a toute une communauté francophone autour de phpmyshop avec un forum spécifique.
Je pense que tu devrais y poser ta question.

Surtout qu'il me semble que ce bug interesse l'ensemble de la communauté utilisant ce script.
A priori, j'ai confondu avec oscommerce. :oops:
Le site francophone avec le forum : http://www.oscommerce-fr.info/

par Cyrano » 14 sept. 2005, 12:24

Mouais, j'ai téléchargé, mais c'est un .gz et non un .tar.gz, je n'arrive à extraire qu'un fichier unique, il faut que je passe sous Linux pour décompresser ça et refaire une archive utilisable sous Windows. Mais je flaire encore le bug. J'ai quand même sommairement regardé le code, pour la personnalisation, ça sera encore la croix et la bannière : tout est en tableaux HTML... :-k
Je regarderai quand j'auraidu temps.

par Invité » 14 sept. 2005, 11:31

http://www.comscripts.com/scripts/php.p ... .1351.html
Pour le télécharger :)
Je vais le mettre en test sur un espace gratuit multimania pour voir un peu ce que cela donne... :)

par Cyrano » 14 sept. 2005, 11:15

Connais pas, tu as un lien ?

par Moho » 14 sept. 2005, 11:14

Est-ce que vous avez regardé le script PHPMYSHOPING?
Vous parait il un peu plus fiable?? ;)

par Cyrano » 14 sept. 2005, 10:09

Génial, tu compte donner le code (open source)?...
Pas vraiment; C'est beaucoup de travail et je suis loin d'avoir fini. Mais ce n'est pas encore définitif comme décision. Je verrai en temps et lieux si je le laisse open source et disponible, j'ai encore quelques semaines de travail pour en terminer une version fonctionnelle et utilisable. Et de toutes façon, même si ce n'est pas une usine du style oscommerce ou zencart, ça demeure un code qui n'est peut-être pas nécessairement facile suivre même si je le commente largement.

par Moho » 14 sept. 2005, 10:03

Je ne comprends sincèrement pas les gens qui utilisent ce script. Sa dernière version semble dater de début 2003! Et à en juger par le nombre de sites et de forums qui répertorient ses bugs et ses vulnérabilités, sans parler des problèemes de compatibilité (anciennes versions de PHP et mySQL), c'est un mystère pour moi! D'autant plus qu'il semble exister plusieurs scripts/modules plus récents, gratuits ou Open Source, acclamés, et hautement recommendables!
Ils donnent tous la même faille de sécurité!
De plus c'est il me semble le seul projet totalement open source vraiment complet... et qui ne soit pas une usine comme "oscommerce"!
De plus je souhaite utiliser un script français et sans commentaires anglais ;)

Mon but est d'avoir une base pour la faire évoluer selon mes besoins!

Mais si vous avez un script français, totalement open source, qui soit pas une usine... alors je suis bien entendu preneur!!
Pour la solution, en fait personnellement je me suis lancé dans un contournement du problème global: je suis en train de construire ma propre application de commerce en ligne en codant proprement.
Génial, tu compte donner le code (open source)?...
Si oui, où tu en es?

En tout cas merci pour l aide! ;)

par Cyrano » 14 sept. 2005, 09:20

...Sinon Cyrano est-ce que vous avez trouvé une solution pour le problème avec la facture?..
Salut,
me donne pas du "vous", je me sens vieillir prématurément :langue:

Pour la solution, en fait personnellement je me suis lancé dans un contournement du problème global: je suis en train de construire ma propre application de commerce en ligne en codant proprement. Je n'ai pas fouillé très profondément le code de phpMyShop et pour le problème de facture, je me souviens vaguement de la nature du problème mais pour touver une parade, il aurait fallu que j'analyse en détail le programme pour y apporter un correctif, ce que je n'ai pas fait parce qu'avant d'en arriver là, il aurait fallu que je débuggue ce truc dans son ensemble. Ce que je sais, c'est que c'est un problème de variable de session et de test inexistant de l'identité de l'internaute via une variable de session permettant ou non l'affichage d'une facture.

par JazzFinder » 14 sept. 2005, 08:20

---