Ich hab eim Login / Logout gar kein Java script o.O Das hab ich anderst gemacht :) Vielleicht mach ichs weg.Quote:
Negatives:
-Das Design
-unnötiges JavaScript
Positiv:
-Gut angepasst
für 3 Wochen ziemlich Gut, aber ich würde JavaScript beim Login und logout weglassen
Genau das ist der Fehler wenn man einfach das macht was irgendwelche Leute in einem Forum (oder anderswo) dir raten zu tun und man es nachmacht ohne die Funktionsweise einer Funktion zu kennen. Les dir lieber mal einen Artikel über PHP und Sicherheit + XSS Vorbeugung durch, da hast du wenigstens die Gewissheit das dir nicht irgendjemand sein Halbwissen vermittelt.Quote:
<?php
$allowedPages = array('product', 'contact', 'imprint');
if (in_array($_GET['page'], $allowedPages)) {
include($_GET['page'] . '.php');
} else {
include('startpage.php');
}
?>
<?php
function h($text) {
return htmlentities(strip_tags($text), ENT_QUOTES);
}
?>
[...]
<div class="comment">
<h2><?php echo h($_POST['subject']) ?></h2>
<small><?php echo h($_POST['author']) ?></small>
<p>
<?php echo h($_POST['subject']) ?>
</p>
</div>
[...]
Adrian
<?php
$sql = "SELECT FROM
users
WHERE
usename = '". mysql_real_escape_string($_POST['usename']) . "' AND
password = '" . mysql_real_escape_string($_POST['password']) . "'";
mysql_query($sql);
?>
Quote:
hab noch ein paar kleine Fragen, ob das so stimmt:
Remote Code Execution:
XSS:PHP Code:<?php
$allowedPages = array('product', 'contact', 'imprint');
if (in_array($_GET['page'], $allowedPages)) {
include($_GET['page'] . '.php');
} else {
include('startpage.php');
}
?>
SQL-Injektion:PHP Code:<?php
function h($text) {
return htmlentities(strip_tags($text), ENT_QUOTES);
}
?>
[...]
<div class="comment">
<h2><?php echo h($_POST['subject']) ?></h2>
<small><?php echo h($_POST['author']) ?></small>
<p>
<?php echo h($_POST['subject']) ?>
</p>
</div>
[...]
Adrian
PHP Code:<?php
$sql = "SELECT FROM
users
WHERE
usename = '". mysql_real_escape_string($_POST['usename']) . "' AND
password = '" . mysql_real_escape_string($_POST['password']) . "'";
mysql_query($sql);
?>
Nein. Was würde passieren wenn deine Seiten in einem Verzeichniss namens "pages" liegen, ein böser Nutzer aber in deinen GET Parameter ../someFile.php schreibt? PHP sucht nun nichtmehr im "pages" Verzeichniss sondern im Verzeichniss darüber. Durch ./ und ../ kann der böse Hacker nun also alle Dateien die er möchte in deinen Content einbinden wie er will, von daher reicht es nicht aus nur zu prüfen ob eine Datei existiert, du musst auch prüfen ob in deinem GET Parameter nicht solche - wie in meinem Beispiel - unerwünschte Zeichen stehen.Quote:
Wenn ich jetz aber eine "whitelist" einbinde, ist das ja eigentlich auch nicht all zu viel arbeit oder?
und immer schön
"stripslashes"
"mysql_real_escape_string"
"htmlspecialchars"
verwenden um gegen sqli vorzugehen oder?