 |
|
Модераторы: skyboy, MoLeX, Aliance, ksnk |
 
|
|
Какие ХТМЛ теги опасны? 
| Гость_Roman |
|
|||
|
Unregistered |
Вообщем задача стоит позволить узеру вставлять ХТМЛ код банера или счетчика,
если этот код изуродует страницу, то фиг с ним, главное что серьезных проблем не доставил. Подскажите что надо отловить из него. И я так понял что кавычки тоже могут доставить траблы ПХП скрипту, как этого избежать. И ли в кодах баннеров кавычек быть не может? |
|||
|
||||
Загрузка ...
| Secandr |
|
|||
 Связист  Профиль Группа: Экс. модератор Сообщений: 4043 Регистрация: 3.8.2003 Где: Russia, Volgograd Репутация: 5 Всего: 39 |
если грамотно вставлять, то серверу любые html теги не страшны. Но зато пользовательможет сильно пострадать.
Например я могу вставить картинку 100000000x100000000 или iframe, который обращается к этой же странице и у пользователя машину уйдёт в даун. Можно выполнить что-то вредное на javascript. |
|||
|
||||
| Master |
|
|||
 Эксперт Профиль Группа: Участник Клуба Сообщений: 1530 Регистрация: 13.5.2003 Где: Mother Russia Репутация: 8 Всего: 10 |
я бы ограничил ясловия так:
1) можно указывать путь к картинке (она же счетчик), скрипт смотрит картинка ли это и соответствует ли она размерам. 2) можно указывать ссылку для картинки. в дополнение Secandr тут также можно написать <script language="javascript" src="knack.js"></script> вроде код с виду безобидный  -------------------- Вавилон, Вавилон Что ты построил, что разрушил? Вавилон, Вавилон Плавятся души дьявольским огнем. |
|||
|
||||
| Secandr |
|
|||
|
Связист Профиль Группа: Экс. модератор Сообщений: 4043 Регистрация: 3.8.2003 Где: Russia, Volgograd Репутация: 5 Всего: 39 |
То есть делаем вывод - html лучше не использовть, а разрешить клиенту оставлять только линк на картинку, читать эту картинку скриптом проверять размер(не более 200x200), вес картинки(не более 100кб) и отдовать посетителю.
В итоге все счастливы: - владельцы счётчиков добавляют свои счётчики - пользователи их видят - в базе хранится гораздо меньше данных Единственый минус: нужно тратить время и ресурсы на проверку. |
|||
|
||||
| Master |
|
|||
|
Эксперт Профиль Группа: Участник Клуба Сообщений: 1530 Регистрация: 13.5.2003 Где: Mother Russia Репутация: 8 Всего: 10 |
Этот минус можно решить написанием баннерохранилки...
на мой взгляд не очень много место это сожрет, за то не будет зависимости от другого сервера и напряжения запросами и проверками... а дать пользователю аккаунт в скрипте и пусть он к тебе на сервер закачивает баннеры (проверять так же) и ставить линки... -------------------- Вавилон, Вавилон Что ты построил, что разрушил? Вавилон, Вавилон Плавятся души дьявольским огнем. |
|||
|
||||
| oleg1973 |
|
|||
 asm fanat Профиль Группа: Экс. модератор Сообщений: 3283 Регистрация: 16.7.2003 Где: Italy Репутация: нет Всего: 34 |
джпег в 100 кб могу сделать тоже 10000х10000 а размер в хедере файла ручками поправить (все вопросы к админу он свидетель ) -------------------- SST 465555 icq 200-512-712 |
|||
|
||||
| Secandr |
|
|||
|
Связист Профиль Группа: Экс. модератор Сообщений: 4043 Регистрация: 3.8.2003 Где: Russia, Volgograd Репутация: 5 Всего: 39 |
oleg1973 Я как-то раз с помощью GD2 библиотеке на пхп создал файл размеров 1-2 Кб, но с неимоверными размерами, да ещё и прозрачный, в итоге раз 15 комп перегружал, пка догнал в чём дело
 |
|||
|
||||
| oleg1973 |
|
|||
|
asm fanat Профиль Группа: Экс. модератор Сообщений: 3283 Регистрация: 16.7.2003 Где: Italy Репутация: нет Всего: 34 |
Secandr
недавно в бугтраке пролетало о ехцепшине в ехплорере и запуске кода через ВМР со спецальным образом обработаным хедером (после утечки сорцов вындоса баг всплыл) я проверял работает -------------------- SST 465555 icq 200-512-712 |
|||
|
||||
| Secandr |
|
|||
|
Связист Профиль Группа: Экс. модератор Сообщений: 4043 Регистрация: 3.8.2003 Где: Russia, Volgograd Репутация: 5 Всего: 39 |
не буду смотреть бмпешки
Жуть. Скоро опасность будут представлять *.txt Сори за флейм. |
|||
|
||||
| Sardar |
|
|||
 Бегун Профиль Группа: Модератор Сообщений: 6986 Регистрация: 19.4.2002 Где: Нидерланды, Groni ngen Репутация: 4 Всего: 317 |
oleg1973 а ссылочку можешь дать? Забавно до дрожи... уже через BMP злой код проходит ... скоро у меня параноя начнется =/
-------------------- Опыт - сын ошибок трудных © А. С. Пушкин Процесс написания своего велосипеда повышает профессиональный уровень программиста. © Opik Оценить мои качества можно тут. |
|||
|
||||
| oleg1973 |
|
|||
|
asm fanat Профиль Группа: Экс. модератор Сообщений: 3283 Регистрация: 16.7.2003 Где: Italy Репутация: нет Всего: 34 |
-------------------- SST 465555 icq 200-512-712 |
|||
|
||||
| IZ@TOP |
|
|||
 Панда-бир! Профиль Группа: Участник Сообщений: 4795 Регистрация: 3.2.2003 Где: Бамбуковый лес Репутация: 44 Всего: 73 |
Модератор: Это все конечно интересно. но прошу в этом форуме флейм не разводить.
-------------------- Один из розовых плюшевых-всадников апокалипсиса... очень злой... Семь кругов ада для новых элементов языка Мои разрозненные мысли |
|||
|
||||
|
|
| Правила форума "PHP" | |
|
|
Новичкам:
Важно:
Внимание:
Если Вам понравилась атмосфера форума, заходите к нам чаще! С уважением, IZ@TOP, skyboy, SamDark, MoLeX, awers. |
| 0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей) | |
| 0 Пользователей: | |
| « Предыдущая тема | PHP: Общие вопросы | Следующая тема » |
[ Время генерации скрипта: 0.0515 ] [ Использовано запросов: 22 ] [ GZIP включён ]
Реклама на сайте Информационное спонсорство
|
|
По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности Powered by Invision Power Board(R) 1.3 © 2003 IPS, Inc. |