Что изменить?

Сделай под WebMCR.
Всё что есть под WebMCR сейчас - ужос.

 

Там через дыру в админку можно попасть, не советую его юзать.

 

Ужо год на нём сижу. Дырка серьёзная? Поможешь пофиксить или хотя бы указать на неё?)

 

Ну везет пока что, указал бы еслиб знал где именно. Все до разу, видимо еще почти никто о ней не знает. Это как старый сашок, жил себе жил и понеслось .

 

Не только в админку.

Везде, где есть форма отправки.

В данном модуле этой дыры нет.

 

Могу купить

 

Не уж-то наконец почитал про CSRF?
Кстати, не выводится почему-то ничего из товаров, пишет: "Пусто Нет доступных предметов"

Не везде, там токены есть. Просто есть одна веселая последовательность действий (и весьма трудноосуществимая), при которой можно получить администраторские полномочия.
Таки токен не нужно менять при каждом обновлении страницы. Один раз при старте сессии задавать токен - вполне достаточно.

 

А что всё таки на счет этого магазина но для WebMCR?

 

Если есть подходящие средства, без вопросов.

Зачем мне об этом читать? Это второе, что я узнал и как работает, после sql иньекции, когда начинал заниматься взломами лет 5 назад.
Нет предметов пишет из-за того, что там нет товаров. Кнопочку добавления забыл добавить - http://box4g.hol.es/?do=shop&op=admin&act=items&add=true

Трудных в csrf нет. Можно получить не только админские права, но и гораздо ценные, вплоть до контроля над сервером, но это уже другая уязвимость.

Одинаковый токен выдаст ошибку, если открыть другую вкладку.

А что с ним?

 

Ну вот только забыл об этом, когда писал свой шоп для webmcr, да?

CSRF там только часть истории.

С чего бы? Никто не говорит, что они должны быть одноразовыми.

 

Не плохо, только не понятно что где!
Успех!
Транзакция успешно создана. Для оплаты счета нажмите продолжить
ии??Как продолжить пополнение?Нажал на кнопку, и ничего..

 

Нет, были на то причины.

Должны быть, т.к. если браузер настроен именно на удаление сессий, после закрытия вкладки, как у меня, например, то сессия дропнется на следующем открытии новой вкладки.

Оплата отключена, по этому и не работает.

 

Я про то что может быть ты сделаешь этот магазин и под DLE и под WebMCR?

 

Если кому-то понадобиться, без проблем.

 

Будет очень круто если сделаешь под WebMCR, ну и скажешь цену заодно.

 

Это вообще как? Cookies очищаются после каждого закрытия вкладки?)

 

Хотя я рад что будет теперь нормальный модуль магазина для DLE
Но если в паблике не будет, это очень плохо...
Я особо проектами не занимаюсь, но бесплатно магазин хотел бы сделать...
А не за 2-3к

Зависит от браузера и его настроек)

 

Тогда все равно же придется поновой авторизовываться .
Или тс просто не догоняет что такое кукисы.

 

Нет, речь шла только о сессиях. Использовать куки для этого не безопасно. Можно получить их через тот же csrf из фрейма и затем уже получать доступ куда хочешь.
Нет, я предпочитаю одноразовые сессии. Это безопаснее, как по мне.
Впрочем, эта тема не для того, чтобы обсуждать защиту webmcr, здесь "чуть-чуть" другая тема. Завязываем))

В паблике его точно не будет. Мне его продавать не особо хочется, не то что уж в паблик кидать.
В интернетах полно хороших модулей для dle под rust и minecraft... А, нет, ошибся, не полно))
- Добавил кнопочки на добавление серверов/категорий/товаров при их отсутствии.
- Добавил подтверждение на все действия удаления.

 

Drupal тоже норм.