Аудит самописного сайта

[f1rebl00d]

Проведите пожалуйста аудит безопасности сайта - http://zaimiudruga.ru
Движок самописный, дизайн сайта в процессе доработки.

тестовый аккаунт fbstable@gmail.com пароль 4zsx66PE

[BigBear]

2 активные XSS в "Проектах"

<div style="padding:5px; border:1px dotted grey; clear:both; margin-bottom:10px;">
    <div style="border:0px solid green; overflow:hidden; height:102px;">
	<div style="float:left; margin-right:20px; border:1px solid grey; height:100px; width:100px;">
	<a href="/p19">
	    <img src="/images/9f351714906eacbf85b5e21fbe4bc82c1">
	</a>
        </div>
	<div style="float:left; width:75%;">
	    <div style="clear:both; overflow:auto;">
		<div style="font-size:16px; float:left; font-weight: bold; overflow:hidden;"><script>alert(100)</script></div>
	    </div>
	    <div style="border:0px solid red; height:50px; overflow:auto; font-size:14px; overflow:hidden;"><script>alert(123)</script></div>
	    <div style="">
		<div style="float:left;">Собрано: 0 / 234<img src="/conten1t/images/friends-company_logo_lamp.png" width=20 height=20 /></div>
		<div style="float:right">Дата окончания:&nbsp;03.04.2013</div>
		<div style="clear:both; float:left;">Статус: Активен</div>
	    </div>
	</div>
    </div>
</div>

_http://www.zaimiudruga.ru/projects/create

Уязвимые поля:
Название, описание

[BigBear]

+ ещё 2 активные XSS

http://www.zaimiudruga.ru/groups/create

<div style="float:right; width: 83%;" id="content_info_info">

    <div style="float:left; width:100%;">
	<div style="text-alig:left; background:none repeat scroll 0% 0% rgb(239, 239, 239); padding:2px; font-weight:bold; font-size:12px; margin-bottom:5px;" class="div_header">
	    <div style="float:left"><i></i></div>
&nbsp;<script>alert(789)</script>
	    <div style="float:right"><a href!="/groups/users/[group_id]">Пользователи</a> - 0</div>
	</div>
<script>alert(4455)</script>
    </div>
</div>

Уязвимые поля:

Название группы, Описание группы

[BigBear]

После активации не происходит ни редиректа, ни вообще какого либо оповещения об успешной активации.

Это печально.

http://www.zaimiudruga.ru/users/activate/QwLLaj4DpgUBfCCo

[BigBear]

+ Длина полей в профиле никак не контролируется. Шаблон ломается на раз-два.

[BlackFan]

1) Регистрация проходит вне зависимости от правильности каптчи
2) Для входа не обязательна активация по ссылке из почты
3) Картинки можно заливать без авторизации (/images/upload)
4) Защиты от csrf нету
5) При смене пароля, мыла и телефона старый пароль не требуется
6) XSS (неправильный content-type)
http://www.zaimiudruga.ru/images/getinfo1
POST: image_id=<img src=x onerror=alert(1)>

[f1rebl00d]

Спасибо большое, исправил почти все замечания и даже еще нашел.