Тема: Ворос на пять рублей (WAP/WEB мастеру/PHP/MySQL) vitja_shijan (3 Mar 2014 в 17:03) код полностю чистый, можешь быть спокоен Феном (3 Mar 2014 в 17:07) vitja_shijan, Благодарствую.На меня беспокоит именно <? $ank[\'balls\']=$_POST[\'balls\']; ?> как пост фильтруется,вернее каким образом.Пожалуйста. -MobileRace- (3 Mar 2014 в 17:25) [b]Вроде норм все[/b] Феном (3 Mar 2014 в 17:28) -MobileRace-, Ак как же $ank[\'balls\']=$_POST[\'balls\']; Просмотрите далее вниз по коду,записть так не фильтрованная и идёт. Jvk35 (3 Mar 2014 в 17:39) Вроде так <? $ank[\'balls\'] = mysql_real_escape_string($_POST[\'balls\']); ?> А вобщето это числовое значение то фильтрируется вроде intvаl() Код полностю можно? Феном (3 Mar 2014 в 17:43) Jvk35, Благодарствую Вас,значит необходимо профильтровать так как Вы написали?Совершенно верно!Ещё раз мои нижашии. Jvk35 (3 Mar 2014 в 18:00) --Цитата-- Феном (3 Mar 2014 в 17:43): Jvk35, Благодарствую Вас,значит необходимо профильтровать так как Вы написали?Совершенно верно!Ещё раз мои нижашии. ---------- Феном, Да я верно написал :) Saint (3 Mar 2014 в 18:05) 2 уязвимости $ank[\'otvet\']=$_POST[\'otvet\']; $ank[\'balls\']=$_POST[\'balls\']; неотфильтрованные параметры ,при передачи их в базу . ------- Лечится так $ank[\'otvet\'] = my_esc($_POST[\'otvet\']); $ank[\'balls\'] = my_esc($_POST[\'balls\']); ----- Да и лучше все входящие данные фильтровать my_esc() А на выводе использовать htmlspecialchars() Saint (3 Mar 2014 в 18:07) --Цитата-- vitja_shijan (3 Mar 2014 в 17:03): код полностю чистый, можешь быть спокоен ---------- vitja_shijan, А потом вы жалуетесь ,что вас ломают пабл вы не ставили и дырок не допускали . И ищите потом крайних . а вина на вас самих . Феном (3 Mar 2014 в 18:09) Saint, Благодарю и Вас,дак дело в том что эта бридятина продаётся,да неповерите купил себе дырку у спеца продавца с бл аж 4 )) Saint (3 Mar 2014 в 18:20) Феном, бл далеко не показатель ,но допустить такую уязвимость могут ,только те кто не знает что такое уязвимость . ------- Кстати там ниже верно написано ,баллы лучше всего фильтровать intval() да и все числовые значения . ----- А уже текст фильтровать через mysql_real_escape_string() в дцмс он используется в виде функции my_esc() . Феном (3 Mar 2014 в 18:32) Saint, Совершенно согласен с Вами,поэтому прадавцу даже шанс дал,ну мало ли...Даже вырезал куски кода,делал скрин показывал примеры,вообщем за три дня моё мировозрение чуть ли неизменилось)) Да там стоит профильровать abs(intval что бы не передалось отрицательное значение. ZooMERS (3 Mar 2014 в 19:13) <?php $ank[\'balls\']=$_POST[\'balls\']; ?> Saint (3 Mar 2014 в 19:19) ZooMERS, а это типа нет $ank[\'otvet\']=$_POST[\'otvet\']; ? ZooMERS (4 Mar 2014 в 07:43) Saint, я провирял работы владиатора Источник: http://www.dcms-social.ru/forum/20/41/16864/