Модераторы: skyboy, MoLeX, Aliance, ksnk

Поиск:

Ответ в темуСоздание новой темы Создание опроса
> Проверьте на ошибки 
:(
    Опции темы
Gold Dragon
Дата 26.7.2006, 14:56 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Призрачный
****


Профиль
Группа: Экс. модератор
Сообщений: 6753
Регистрация: 1.3.2004
Где: Россия, Тамбов

Репутация: 1
Всего: 71
Сделал движок http:\\top-kabak.kobalt-tamb.ru\

большая просьба погонять на ошибки. Т.е. вводите любые значения в адресную строку, чтоб найти ошибку в коде. А так же прошу гонять страницы где есть поля ввода, на проверку тегов, размеров, критичности...

Т.е. попробуйте найти ошибку.

Добавлено @ 14:57 

"вакансии" и "поиск" отключены 


--------------------
Нельзя жить в прошлом, оно уже прошло.
Нельзя жить в будущем, оно ещё не наступило.
Нужно жить в настоящем, помня прошлое и думая о будущем!
PM MAIL WWW ICQ   Вверх
skifoz
Дата 26.7.2006, 20:41 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Шустрый
*


Профиль
Группа: Участник
Сообщений: 85
Регистрация: 23.1.2006
Где: Россия

Репутация: 1
Всего: 1
http://top-kabak.kobalt-tamb.ru/index.php?...;id=20' 


А вот еще нашел XSS 

http://top-kabak.kobalt-tamb.ru/index.php?...);%3C/script%3E 

А еще можно оставлять коментарии к несуществующим новостям

http://top-kabak.kobalt-tamb.ru/index.php?...mment&id=21  

Это сообщение отредактировал(а) skifoz - 26.7.2006, 21:13
PM MAIL WWW   Вверх
Gold Dragon
Дата 26.7.2006, 21:46 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Призрачный
****


Профиль
Группа: Экс. модератор
Сообщений: 6753
Регистрация: 1.3.2004
Где: Россия, Тамбов

Репутация: 1
Всего: 71
skifoz, молодчина, спасибо...

так, в первом случае наверное всё просто, нужно регами из значение id выдёргивать только цифры
(кстати, буду благодарен за код, я просто с регами не дружу smile )


поясни второе и третья  

Это сообщение отредактировал(а) Gold Dragon - 26.7.2006, 21:50


--------------------
Нельзя жить в прошлом, оно уже прошло.
Нельзя жить в будущем, оно ещё не наступило.
Нужно жить в настоящем, помня прошлое и думая о будущем!
PM MAIL WWW ICQ   Вверх
skifoz
Дата 26.7.2006, 22:07 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Шустрый
*


Профиль
Группа: Участник
Сообщений: 85
Регистрация: 23.1.2006
Где: Россия

Репутация: 1
Всего: 1
Насчет второй
В какой то функции у тебя есть вывод числа типа 
Код

echo $_GET['page'];


Лучше я думаю проверять эту переменную, то есть если это цифра то выводим, иначе выдаем пользователю ошибку.

Или можно сделать так
Код

echo htmlspecialchars($_GET['page']);


Начет третьей, напиши сначала проверку есть ли эта новость в базе данных или нет, если нет выводи пользователю - такой новости не существует, иначе выводим форму отправки коментария


 
PM MAIL WWW   Вверх
Gold Dragon
Дата 26.7.2006, 22:16 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Призрачный
****


Профиль
Группа: Экс. модератор
Сообщений: 6753
Регистрация: 1.3.2004
Где: Россия, Тамбов

Репутация: 1
Всего: 71
ну тогда и в первом и во втором случае просто делаем это всё регами...

в третьем случае не понятно... у меня на локалке выводится сообщение что страницы такой нет

Добавлено @ 22:22 


новости вроде исправил, теперь с несуществующими ID не влезишь 


--------------------
Нельзя жить в прошлом, оно уже прошло.
Нельзя жить в будущем, оно ещё не наступило.
Нужно жить в настоящем, помня прошлое и думая о будущем!
PM MAIL WWW ICQ   Вверх
SamDark
Дата 27.7.2006, 09:04 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Добрый кот
***


Профиль
Группа: Участник
Сообщений: 1424
Регистрация: 25.7.2006
Где: Voronezh

Репутация: 0
Всего: 38
Gold Dragon
В первом случае лучше intval() вместо регов. 


--------------------
rmcreative.ru — Это жжж неспроста...
yiiframework.ru — О фреймворке Yii на русском.
reggi — здесь я регистрирую домены
PM MAIL WWW GTalk Jabber MSN   Вверх
smartov
Дата 27.7.2006, 09:57 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


свой собственный
****


Профиль
Группа: Экс. модератор
Сообщений: 4225
Регистрация: 2.2.2006
Где: NJ

Репутация: 1
Всего: 259
Цитата(SamDark @  27.7.2006,  08:04 Найти цитируемый пост)
В первом случае лучше intval() вместо регов. 

Совершенно верно. И во втором тоже. 
PM MAIL   Вверх
Gold Dragon
Дата 27.7.2006, 11:33 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Призрачный
****


Профиль
Группа: Экс. модератор
Сообщений: 6753
Регистрация: 1.3.2004
Где: Россия, Тамбов

Репутация: 1
Всего: 71
да нет... а если будет "а4"? 


--------------------
Нельзя жить в прошлом, оно уже прошло.
Нельзя жить в будущем, оно ещё не наступило.
Нужно жить в настоящем, помня прошлое и думая о будущем!
PM MAIL WWW ICQ   Вверх
smartov
Дата 27.7.2006, 11:41 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


свой собственный
****


Профиль
Группа: Экс. модератор
Сообщений: 4225
Регистрация: 2.2.2006
Где: NJ

Репутация: 1
Всего: 259
Gold Dragon, а.. 
я почему-то подумал что там тоже id страницы. 
PM MAIL   Вверх
GiV
Дата 27.7.2006, 12:21 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Шустрый
*


Профиль
Группа: Участник
Сообщений: 137
Регистрация: 13.7.2006
Где: rus|53

Репутация: 1
Всего: 9
http://top-kabak.kobalt-tamb.ru/index.php?...sage&id_m=1 и т.д. перебираем ошибки =)
http://top-kabak.kobalt-tamb.ru/message.php
http://top-kabak.kobalt-tamb.ru/index.php?...=%3Ctextarea%3E 
PM MAIL WWW ICQ   Вверх
Gold Dragon
Дата 27.7.2006, 13:07 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Призрачный
****


Профиль
Группа: Экс. модератор
Сообщений: 6753
Регистрация: 1.3.2004
Где: Россия, Тамбов

Репутация: 1
Всего: 71
все ошибки исправил, кроме http://top-kabak.kobalt-tamb.ru/message.php

не могу понять как это исправить. У меня все страницы загружаются через index.php, а прямой вызов даёт ошибку. Что делать?

Добавлено @ 13:09 


у меня все основные модули подключаются в index.php 


--------------------
Нельзя жить в прошлом, оно уже прошло.
Нельзя жить в будущем, оно ещё не наступило.
Нужно жить в настоящем, помня прошлое и думая о будущем!
PM MAIL WWW ICQ   Вверх
GiV
Дата 27.7.2006, 13:14 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Шустрый
*


Профиль
Группа: Участник
Сообщений: 137
Регистрация: 13.7.2006
Где: rus|53

Репутация: 1
Всего: 9
Как вариант в index.php
Код

define ( 'IN_SYSTEM', 1 );


А во всех модулях перед кодом модуля:
Код

if ( ! defined( 'IN_SYSTEM' ) )
{
    print "Incorrect access";
    exit();
}
   

Это сообщение отредактировал(а) GiV - 27.7.2006, 13:15
PM MAIL WWW ICQ   Вверх
SamDark
Дата 27.7.2006, 13:19 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Добрый кот
***


Профиль
Группа: Участник
Сообщений: 1424
Регистрация: 25.7.2006
Где: Voronezh

Репутация: 0
Всего: 38
Gold Dragon
Можно передать параметр с index.php. Если он был передан - отображать страницу, если нет - перенаправлять на заглавную. 


--------------------
rmcreative.ru — Это жжж неспроста...
yiiframework.ru — О фреймворке Yii на русском.
reggi — здесь я регистрирую домены
PM MAIL WWW GTalk Jabber MSN   Вверх
skifoz
Дата 27.7.2006, 15:59 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Шустрый
*


Профиль
Группа: Участник
Сообщений: 85
Регистрация: 23.1.2006
Где: Россия

Репутация: 1
Всего: 1
А я делал так, если мне нужно чтобы этот файл нельзя было вызвать напрямую
Код

$ex = explode('?',basename(getenv('REQUEST_URI')));
if(basename(__FILE__) == $ex[0]){
    exit();
}
 
PM MAIL WWW   Вверх
AztEK
Дата 27.7.2006, 18:05 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Опытный
**


Профиль
Группа: Участник
Сообщений: 723
Регистрация: 4.1.2005

Репутация: нет
Всего: 18
skifoz, лучше делать, как сказал GiV. 100% надёжность. А пользовательским данным лучше не доверять. 


--------------------
Linux is like wigwam -- no windows, no gates, apache inside.
PM MAIL Jabber   Вверх
Ответ в темуСоздание новой темы Создание опроса

Внимание: данный раздел предназначен для решения сложных, нестандартных задач.

 
0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема | PHP: Для профи | Следующая тема »

Подписаться на тему | Подписка на этот форум | Скачать/Распечатать тему


 




[ Время генерации скрипта: 0.0552 ]   [ Использовано запросов: 22 ]   [ GZIP включён ]


Реклама на сайте     Информационное спонсорство

 
 По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности     Powered by Invision Power Board(R) 1.3 © 2003  IPS, Inc.