Cyberplat.ru - дырки, учитесь на реальных примерах как НЕ НАДО делать

[slach]

Cyberplat.ru - дырки, учитесь на реальных примерах как НЕ НАДО делать

http://forum.securitylab.ru/forum_posts.asp?TID=4621&KW=cyberplat

 

[*..MOFF..*]

очень полезная фича, thanks
а вот насчёт этого:
<html>
....
<?php
....
global $p;
....
include ("$p.php");
....
?>
....
</html>

как лучше защитить?
проверять нет ли в $p http:// или www ?

 

[netdog]

лучше всего, не делать так

 

[*..MOFF..*]

да куда то пропали мессаги =)

 

[*..MOFF..*]

почему не надо?
а почему не сделать так?:

if (!isset($p))
        {
        include "/users/..../mainpage.php";
        }
  else
        {
        if (file_exists("/users/..../$p.php"))
              {
              include "/users/..../$p.php";
              }
        else
              {
              include "/users/..../module_not_found.php";
              }
        }

я лично так сделал =)
чем плохо? =)

 

[netdog]

ну еще регу добавить типа [a-zA-Z] будет почти идеально

 

[MD]

>> чем плохо? =)
попробуй скорпить что-то типа "../../../../../../etc/passwd", поймешь чем плохо.
хотя все конечно зависит от админа сервака.

 

[Tenz]

Автор оригинала: *..MOFF..*
чем плохо? =)

на мой взгляд - это дело стиля.
есть определённый набор рекомендаций, как сделать хорошо, всё остальное - это изобретать велосипед
(попутно можно изобрести колёса, сиденья и утюг)

 

[*...MOFF...*]

я записался в ReadOnlyTeaM =)
thanks 2 all...
я попробую просчитать все варианты... или большенство из них...

 

[confguru]

*...MOFF...* - ты думаешь самый умный?