[ Поиск ] - [ Пользователи ] - [ Календарь ]
Полная Версия: обработка get
VELIK505
Вывожу url - ы через инклюд таким образом:
else if($s=='chitka_s') include('stran/views_mail_s.php');
else if($s=='vfaframe') include('stran/vfsda.php');
else
include('stran/404.php')


Достаточно ли такой обработки?

function hakzachita($mensaje)
{
$mensaje = htmlentities(stripslashes(trim($mensaje)));
$mensaje = str_replace("'"," ",$mensaje);
$mensaje = str_replace(";"," ",$mensaje);
$mensaje = str_replace("$"," ",$mensaje);
return $mensaje;
}
$s=$_GET["s"];

$s = hakzachita($s);




Спустя 18 минут, 27 секунд (15.03.2011 - 13:49) Invis1ble написал(а):
VELIK505
а как s связано с самими инклудами, т.е. зачем эти данные вообще обрабатывать? Они ведь не испоьзуются непосредственно в пути к файлу

Спустя 3 минуты, 4 секунды (15.03.2011 - 13:52) VELIK505 написал(а):
Нет я про то чтобы через адресную строку не ломанули.
Файлы то понятно я даю открывать только те страницы которые есть! Т.е подменить страницу невозможно!
Меня интересует чтобы не какой бяки туда не пустили через адресную строку. какую нить php иньекцию напишут

Спустя 8 минут, 27 секунд (15.03.2011 - 14:00) Invis1ble написал(а):
VELIK505
Ну ты ведь используешь переменную $_GET['s'] только в проверке условий? Как тебя могут ломануть? Насколько я знаю, в данном случае это исключено.

Спустя 12 минут, 45 секунд (15.03.2011 - 14:13) VELIK505 написал(а):
Цитата (Invis1ble @ 15.03.2011 - 11:00)
VELIK505
Ну ты ведь используешь переменную $_GET['s'] только в проверке условий? Как тебя могут ломануть? Насколько я знаю, в данном случае это исключено.

Мне надо точно знать. Лучше перестраховаться.

Спустя 20 минут, 8 секунд (15.03.2011 - 14:33) Invis1ble написал(а):
Ok. Жди других ответов, думаю они врядли чем-то принципиально от моих будут отличаться

Спустя 25 минут, 20 секунд (15.03.2011 - 14:58) imbalance_hero написал(а):
VELIK505
В ядре создаёшь переменную, в присоединённых файлах проверяешь её существование. Если отсутствует - exit(); , как на ирбисе. Защита от прямого открытия страниц.

Спустя 49 минут, 23 секунды (15.03.2011 - 15:48) VELIK505 написал(а):
Цитата (imbalance_hero @ 15.03.2011 - 11:58)
VELIK505
В ядре создаёшь переменную, в присоединённых файлах проверяешь её существование. Если отсутствует - exit(); , как на ирбисе. Защита от прямого открытия страниц.

Ну у меня прямые пути на страницы то закрыты через htaccess
Все файлы (страницы) собраны в отдельную папку и закрыты через хтацес.
А инклюдом выводятся.
А если страницы нет на сайте то 404 и пошёл на.

Спустя 18 минут, 9 секунд (15.03.2011 - 16:06) imbalance_hero написал(а):
VELIK505
В скрипте надежнее =) Да если и так, то в чём проблема в целом? Никак на прямую не обратится, нет смысла защищаться.

Спустя 1 минута, 15 секунд (15.03.2011 - 16:07) VELIK505 написал(а):
Цитата (imbalance_hero @ 15.03.2011 - 13:06)
VELIK505
В скрипте надежнее =) Да если и так, то в чём проблема в целом? Никак на прямую не обратится, нет смысла защищаться.

Да некоторые странички вяжуться всё же с базой.
мне сказали что $s надо обработать function CheckInput($mess)
например так
или function valid($mess)
только я не знаю как это=(
Быстрый ответ:

 Графические смайлики |  Показывать подпись
Здесь расположена полная версия этой страницы.
Invision Power Board © 2001-2025 Invision Power Services, Inc.