Одобрение на защита (последна тема по въпроса)

[eddyy93]

Добре в момента с ваша помощ направих ето това. Искам да знам дъли съм се подсигурил към аттаки до някаква степен.


ПРЕГЛЕДАЙТЕ ГИ ВНИМАТЕЛНО, МОЛЯ ! БЛАГОДАРЯ


ТАЗИ rr(); функция която ми дойде на акъла предполагам предотвратява XSS - как мислите ?


ФУНКЦИИТЕ:

$queryString = strtolower($_SERVER['QUERY_STRING']);
if (strstr($queryString,"<") OR strstr($queryString,">") OR strstr($queryString,"(") OR strstr($queryString,")") OR
strstr($queryString,"..") OR
strstr($queryString,"*") OR
strstr($queryString,"+") OR
strstr($queryString,"!") OR
strstr($queryString,"select") OR
strstr($queryString,"drop") OR
strstr($queryString,"truncate") OR
strstr($queryString,"update") OR
strstr($queryString,"union") OR
strstr($queryString,"@")) {
$loc = $_SERVER['PHP_SELF'];
$ip = $_SERVER['REMOTE_ADDR'];
$date = date ("d-m-Y @ h:i:s");
$lfh = "logs.php";
$log = @fopen ( $lfh,"a+" );
@fputs ($log, "Дата: $date | Атака от: $ip | Атака над: $loc?=$queryString\n<br>");
@fclose($log);
echo "<font color=black>Try again</font>";
exit;
} 


function za6titi($tekst)
{
if ( (int)$tekst ) {
return $tekst;
}
else
{

$tekst = addslashes($tekst);
$tekst = htmlspecialchars($tekst, ENT_NOQUOTES);

return $tekst;
}
}

$_GET = array_map("za6titi", $_GET);
$_POST = array_map("za6titi", $_POST);
$_SESSION = array_map("za6titi", $_SESSION);
$_COOKIE = array_map("za6titi", $_COOKIE);
$_SERVER = array_map("za6titi", $_SERVER);

function rr($g) {
    $rst=str_replace(">", " ", $g;
    $rst=str_replace("<", " ", $g);
    $rst=str_replace(">", " ", $g);
    $rst=str_replace("<", " ", $g);


    return $rst;
}

КОДЪТ СЪС ЗАЯВКАТА:

$a=za6titi($_POST['a']);
        $b=za6titi($_POST['b']);

            
            
         
                   $c=date('d-m-o');
                   $d=date('H:i:s');

                   my_dbcon();
                   mysql_query("INSERT INTO table (a, b, c, d, e) VALUES ('$a', '$b', '$c', '$d', '$e')");

ПОКАЗВАНЕ НА РЕЗУЛТАТА

$row=mysql_query("SELECT * FROM table WHERE e='$e' ORDER BY id DESC");
while($row_new=mysql_fetch_assoc($row)) {
        $a= rr(htmlspecialchars_decode(stripslashes($row_new['a'])));
        $b= rr(htmlspecialchars_decode(stripslashes($row_new['b'])));

" " ' '

 

[StormBreaker]

Аз ти предлагам да ги хванеш един по един кодовете, да ги разгледаш, търсейки в интернет описание на всяка използвана функция и да видиш какво си направил.

В момента все едно искаш да си защитиш къщата, но си взел от едно място дърво за ограда, от друго бодлива тел, от трето купчина кабели за аларма и си ги изсипал на купчина пред къщата.

 

[relax4o]

:shock: ами, нищо не си направил, ако трябва да съм честен. :shock: