Pitäisi saada värkättyä lomakkeenkäsittelijä. Formista lähtee textareasta tieto ja käsittelijä ei päästä eteenpäin jos t-arean mukana tulee merkki
Miten etsiä sallimatonta koodia formin tiedoista?
vaikeaa on joo
3347
0Äänestä
Muut lukivat myös
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 3
Vanhimmat
Hmm, nopeasti tulee mieleen dekoodata syöte "htmlspecialchars_decode" -funktiolla ja verrata tulosta alkuperäiseen. Jos stringit ei ole samanlaisia, syötteessä oli mukana html-koodia.
Voi olla jotain sivuvaikutuksia, mutta jotenkin noin sen voipi tehdä. Katso lisää PHP-manuaalin String-funktioista.
Tiesitkö että 1 < 3 on totta? ;)
No tuota... miksi sitä koodia ei saisi päästä läpi?
Pointti on siinä että käsittelet koodia turvallisesti
1 - jos tallennat tuloksen tietokantaan niin aja se mysql_real_escape_string() funktion läpi (MySQL) tai konsultoi php:n manuaalia jos tietokantasi on joku muu... jolloin tietokannan hakkerointi ei ole mahdollista.
2 - kun esität tietoa heität sen läpi htmlspecialchars() funktion jolloin koodiin tulostuu esim < joka tulostuu selaimeen < merkkinä eikä html-koodina. Tällöin sallimatonta koodia ei voida ajaa.
Tällöin esim. forumeille voivat käyttäjät kirjoittaa koodia kun selittävät asioita toisille ja toisaalta systeemi ei automaattisesti sensuroi hakkerointi yms yrityksiä vaan ne jäävät paistamaan selkeinä tietokantaan. On turha sensuroida kaikkea, silloin yleensä lähtee turhan iso siivu myös. Jos tällä forumilla toteutettaisiin haluamaasi toiminnallisuutta niin olisi voinut käydä niin ettet koskaan olisi saanut tätä viestiä.
Eli siis raakasyöte -> poistetaan escape-koodit tallennusta varten -> näytetään siinä muodossa jossa selain ymmärtää koodin pelkkänä tekstinä.
JEP VIESTI LOPPUI MINÄ JATKAN TONNEPÄIN! ->
*1 - jos tallennat tuloksen tietokantaan niin aja se mysql_real_escape_string() funktion läpi (MySQL) tai konsultoi php:n manuaalia jos tietokantasi on joku muu... jolloin tietokannan hakkerointi ei ole mahdollista.*
Näsäviisastelua, ei hakkerointi vaan krakkerointi suuri ero.
Syöte todellakin pitää laittaa aina tuommosten functioiden kautta mitkä tekee haitalliset merkit vaarattomas, mutta on syytä muistaa, etteivät ne kaikissa tapauksissa auta. Auttavat ainoostaan silloin kun syöte tulee " " tai ' ' merkkien väliin.
Mutta jos kysely onkin tämänkaltainen
SELECT puh, osoite FROM osoitteet WHERE puh = (tähän haettava puh num)
Niin silloin ei auta tuommoset mysql_real_escape_string ja vastaavat, vaan pitää tarkistaa, että numerot on todellakin numeroita.
numero kenttään kirjoittaa 7 union all ........ tai 7 (alikysely) pystyy tekemään vaikka mitä.