$_REQUEST против $_GET / $_POST

[Андрейка]

fixxxer
проверяете куки перед выполнением действий
нет конечно, все на честном слове

 

[DiMA]

Хе-хе, а я у себя реализовал глобальную проверку реферера и специального дополнительного скрытого поля с ключем (с хранением в сессиях) во всех формах еще лет 7 назад .-)

echo "<form action='' method=post>".antihackform('forget');

и проверка

checkhack('forget');

где forget - уникальное название формы, типа "забыл пароль"

 

[fixxxer]

Андрейка
я как-то один раз проверяю, а не по десять


DiMA
а куда всех юзеров с реферером типа *** blocked by outpost ** деваешь? вообще есть вариант с проверкой на подстроку blocked, но встречается и всяко-разное другое невообразимое дерьмецо, в т.ч. и вполне проходящее parse_url()

хидден-поля вполне достаточно, как по мне

 

[Breeze]

DiMA

это ж совсем другое дело..
присоединюсь к вопросу fixxxer'а по поводу реферера..
--

ЗЫ: а вообще хорошая иллюстрация к словам Фaната и круглова получилась бы, если бы не испоганили киданием пальцев. и тебе подмена в реквесте, и тебе левый реферер и пинжак с карманАми.

 

[Luerssen]

Время работы теста: 0.228|0.229|0.229|0.231|0.228|0.230|0.230|0.229|0.229|0.229|0.229
Время работы теста: 0.884|0.891|0.888|0.914|0.894|0.887|0.887|0.886|0.888|0.887|0.891

PHP 5.2.5RC3-dev (cli) (built: Nov 3 2007 16:05:31)
Copyright (c) 1997-2007 The PHP Group
Zend Engine v2.2.0, Copyright (c) 1998-2007 Zend Technologie

 

[Wicked]

Update к http://phpclub.ru/talk/showthread.php?postid=761604#post761604:

http://www.mozilla.org/security/announce/2007/mfsa2007-39.html