    Тема: Помогите в коде !!! (WAP/WEB мастеру/Помощь мастерам)

Мр. Форум (23 Oct 2014 в 11:29)
[red]Тему переместил Админ форума Siberiya из раздела Знакомство/Общение мастеров в раздел Помощь мастерам[/red]

RuDati (25 Oct 2014 в 07:46)
Потому что alert\'y не указано, что выводить, вот он ВСЕ и выводит. Будь внимательнее.
&lt;sсript type=\&quot;text/JavaScript\&quot;&gt;
function test(){
//Старайся все помещать в функции
alert(\&quot;Привет, киска!\&quot;);
}
&lt;/sсript&gt;
А вызов функции пойдет onclick=\&quot;test()\&quot;

Hack (25 Oct 2014 в 12:59)
RuDati, вот сделал такое:
\&quot;&gt;&lt;sсript&gt;alert(\&quot;Привет, киска\&quot;)&lt;/sсript&gt;
Но все ровно выводит кусочек кода, + вывод алерта не делается, + можно вставить возможно и запросик? :)

RuDati (25 Oct 2014 в 13:01)
Hack, кинь ссылку на страницу:)
Сейчас гляну чему там не сидится:)

Hack (25 Oct 2014 в 13:03)
RuDati, идем в лс, тут ссылку писать не буду, мне лишние люди на тест сайте не нужны.

RuDati (25 Oct 2014 в 13:12)
И вообще, для начала сделаем так:
[code]
&lt;?php
include_once \'../../sys/inc/start.php\';
include_once \'../../sys/inc/compress.php\';
include_once \'../../sys/inc/sess.php\';
include_once \'../../sys/inc/home.php\';
include_once \'../../sys/inc/settings.php\';
include_once \'../../sys/inc/db_connect.php\';
include_once \'../../sys/inc/ipua.php\';
include_once \'../../sys/inc/fnc.php\';
include_once \'../../sys/inc/user.php\';
error_reporting(1);
//Данная строка укажет на кракозебры кода
/* Бан пользователя */ 
if (isset($user) &amp;&amp; mysql_result(mysql_query(\&quot;SELECT COUNT(*) FROM `ban` WHERE `razdel` = \'notes\' AND `id_user` = \'$user[id]\' AND (`time` &gt; \'$time\' OR `view` = \'0\' OR `navsegda` = \'1\')\&quot;), 0)!=0)
{
header(\'Location: ../../ban.php?\'.SID);
exit;
}
$set[\'title\']=\'Дневники\';
include_once \'../../sys/inc/thead.php\';
title();
aut(); // форма авторизации
echo \&quot;&lt;div id=\'comments\' class=\'menus\'&gt;\&quot;;
echo \&quot;&lt;div class=\'webmenu\'&gt;\&quot;;
echo \&quot;&lt;a href=\'index.php\' class=\'activ\'&gt;Дневники&lt;/a&gt;\&quot;;
echo \&quot;&lt;/div&gt;\&quot;; 
        
echo \&quot;&lt;div class=\'webmenu last\'&gt;\&quot;;
echo \&quot;&lt;a href=\'dir.php\'&gt;Категории&lt;/a&gt;\&quot;;
echo \&quot;&lt;/div&gt;\&quot;; 
        
echo \&quot;&lt;div class=\'webmenu last\'&gt;\&quot;;
echo \&quot;&lt;a href=\'search.php\'&gt;Поиск&lt;/a&gt;\&quot;;
echo \&quot;&lt;/div&gt;\&quot;; 
echo \&quot;&lt;/div&gt;\&quot;;
if (isset($_GET[\'sort\']) &amp;&amp; $_GET[\'sort\'] ==\'t\')$order=\'order by `time` desc\';
elseif (isset($_GET[\'sort\']) &amp;&amp; $_GET[\'sort\'] ==\'c\') $order=\'order by `count` desc\';
else $order=\'order by `time` desc\';
if(isset($user))
{
echo\'&lt;div class=\&quot;foot\&quot;&gt;\';
echo \&quot;&lt;a href=\&quot;user.php\&quot;&gt;Мои дневники&lt;/a&gt; | \&quot;;
echo \&quot;&lt;a href=\&quot;add.php\&quot;&gt;Создать дневник&lt;/a&gt;\&quot;;
echo \'&lt;/div&gt;\';
}
echo\'&lt;div class=\&quot;foot\&quot;&gt;\';
if (isset($_GET[\'sort\']) &amp;&amp; $_GET[\'sort\'] ==\'t\'){
echo\&quot;&lt;b&gt;Новые&lt;/b&gt; | &lt;a href=\'?sort=c\'&gt;Популярные&lt;/a&gt;n\&quot;;
}elseif (isset($_GET[\'sort\']) &amp;&amp; $_GET[\'sort\'] ==\'c\'){
echo\&quot;&lt;a href=\'?sort=t\'&gt;Новые&lt;/a&gt; | &lt;b&gt;Популярные&lt;/b&gt;n\&quot;;
}else{
echo\&quot;&lt;b&gt;Новые&lt;/b&gt; | &lt;a href=

RuDati (25 Oct 2014 в 13:13)
И вообще, для начала сделаем так:
[code]
&lt;?php
include_once \'../../sys/inc/start.php\';
include_once \'../../sys/inc/compress.php\';
include_once \'../../sys/inc/sess.php\';
include_once \'../../sys/inc/home.php\';
include_once \'../../sys/inc/settings.php\';
include_once \'../../sys/inc/db_connect.php\';
include_once \'../../sys/inc/ipua.php\';
include_once \'../../sys/inc/fnc.php\';
include_once \'../../sys/inc/user.php\';
error_reporting(1);
//Данная строка укажет на кракозебры кода
/* Бан пользователя */ 
if (isset($user) &amp;&amp; mysql_result(mysql_query(\&quot;SELECT COUNT(*) FROM `ban` WHERE `razdel` = \'notes\' AND `id_user` = \'$user[id]\' AND (`time` &gt; \'$time\' OR `view` = \'0\' OR `navsegda` = \'1\')\&quot;), 0)!=0)
{
header(\'Location: ../../ban.php?\'.SID);
exit;
}
$set[\'title\']=\'Дневники\';
include_once \'../../sys/inc/thead.php\';
title();
aut(); // форма авторизации
echo \&quot;&lt;div id=\'comments\' class=\'menus\'&gt;\&quot;;
echo \&quot;&lt;div class=\'webmenu\'&gt;\&quot;;
echo \&quot;&lt;a href=\'index.php\' class=\'activ\'&gt;Дневники&lt;/a&gt;\&quot;;
echo \&quot;&lt;/div&gt;\&quot;; 
        
echo \&quot;&lt;div class=\'webmenu last\'&gt;\&quot;;
echo \&quot;&lt;a href=\'dir.php\'&gt;Категории&lt;/a&gt;\&quot;;
echo \&quot;&lt;/div&gt;\&quot;; 
        
echo \&quot;&lt;div class=\'webmenu last\'&gt;\&quot;;
echo \&quot;&lt;a href=\'search.php\'&gt;Поиск&lt;/a&gt;\&quot;;
echo \&quot;&lt;/div&gt;\&quot;; 
echo \&quot;&lt;/div&gt;\&quot;;
if (isset($_GET[\'sort\']) &amp;&amp; $_GET[\'sort\'] ==\'t\')$order=\'order by `time` desc\';
elseif (isset($_GET[\'sort\']) &amp;&amp; $_GET[\'sort\'] ==\'c\') $order=\'order by `count` desc\';
else $order=\'order by `time` desc\';
if(isset($user))
{
echo\'&lt;div class=\&quot;foot\&quot;&gt;\';
echo \&quot;&lt;a href=\&quot;user.php\&quot;&gt;Мои дневники&lt;/a&gt; | \&quot;;
echo \&quot;&lt;a href=\&quot;add.php\&quot;&gt;Создать дневник&lt;/a&gt;\&quot;;
echo \'&lt;/div&gt;\';
}
echo\'&lt;div class=\&quot;foot\&quot;&gt;\';
if (isset($_GET[\'sort\']) &amp;&amp; $_GET[\'sort\'] ==\'t\'){
echo\&quot;&lt;b&gt;Новые&lt;/b&gt; | &lt;a href=\'?sort=c\'&gt;Популярные&lt;/a&gt;n\&quot;;
}elseif (isset($_GET[\'sort\']) &amp;&amp; $_GET[\'sort\'] ==\'c\'){
echo\&quot;&lt;a href=\'?sort=t\'&gt;Новые&lt;/a&gt; | &lt;b&gt;Популярные&lt;/b&gt;n\&quot;;
}else{
echo\&quot;&lt;b&gt;Новые&lt;/b&gt; | &lt;a href=

Hack (25 Oct 2014 в 13:17)
RuDati, не поместится, создай для меня тему в форуме.

Saint (25 Oct 2014 в 16:04)
пассивная xss , просто безвредная ))
ну можешь для внушения что это поможет профильтровать htmlentities()

PluginS (25 Oct 2014 в 17:46)
А разве не ясно, где?
 if (isset($_GET[\'sort\'])) $dop=\&quot;[red][b]sort=$_GET[sort][/b][/red]&amp;amp;\&quot;;
else $dop=\'\';

Hack (26 Oct 2014 в 12:47)
PluginS, чувак, я это понял только когда еще начал смотреть код, что незащищенный запрос GET стоит мля...
Как правильно профильтровать чтобы небыло ничего плохого?

Источник: http://www.dcms-social.ru/forum/20/44/54932/