mic ajutor la un formular

Sesiunea e una, securitatea e alta. Vezi "sfaturi de programare".

OriginalCopy, on Mar 9 2009, 19:43, said:

evident.Mai bine zis n-are securitate deloc.Nu a cerut in post asa ca am banuit ca doar vrea sa vada cum s-ar face.

Gaura de securitate e ca e introdus cod brut peste tot.Ca sa fie sigur trebuia codul POST pus intr-o variabila si sa-i dau un  strip_tags si un htmlspecialchars si dupa aceea sa fie comparata si invartita variabila.
Stai cateva minute tornad0 ca-l rezolv.

cineva cu intentii rele, poate sa faca praf tot, sa stearga fisiere de pe server, sa le modifice, sa includa un shell, practic cam orice se poate face cu php


Deci scriptul ar fi asta:

<?php
if (isset($_POST['submit'])){
$nume = htmlspecialchars(strip_tags(trim($_POST['nume'])));
$adresa = htmlspecialchars(strip_tags(trim($_POST['adresa'])));
$varsta = htmlspecialchars(strip_tags(trim($_POST['varsta'])));
if ($nume != '' && $adresa != '' && $varsta != ''){
header ('Location: pagina.html');
$util = fopen ('utilizatori.html' , 'a');
fwrite ($util ,
'<br />nume:  ' .$nume.
'<br />adresa:  ' .$adresa.
'<br />varsta:  ' .$varsta.
'<br />'
);

fclose ($util);

}else{
echo '<form method="post">';
if ($nume === ''){
echo 'Nume :<input type="text" name="nume">Nu ati introdus numele! <br />';
}else{ echo 'Nume :<input type="text" name="nume" value="'.$nume.'"><br />';}

if ($adresa === ''){
echo 'Adresa :<input type="text" name="adresa">Nu ati introdus adresa! <br />';
}else{ echo 'Adresa :<input type="text" name="adresa" value="'.$adresa.'"><br />';}

if ($varsta === ''){
echo 'Varsta :<input type="text" name="varsta">Nu ati introdus varsta! <br />';
}else{ echo 'Varsta :<input type="text" name="varsta" value="'.$varsta.'"><br />';}
echo '<input type="submit" value="Trimite" name="submit">
</form>';


}
}else{
echo '
<form method="post">
Nume :<input type="text" name="nume"><br />
Adresa :<input type="text" name="adresa"><br />
Varsta :<input type="text" name="varsta"><br />
<input type="submit" value="Trimite" name="submit">
</form>';
}
?>

nu am cunostinte prea bune cu securitatea, va rog confirmati-mi daca acum e ok.

Edited by stefy, 09 March 2009 - 20:02.

tornad0, on Mar 9 2009, 19:40, said:

nu insinuam ca stefi merita sa ii platesti macar o bere pentru treaba facuta, deoarece de la ajutor/indrumare a face codul in locul tau e un mare pas... iar daca astfel de cod ar ajunge in productii ar fi grav... asta in legatura cu http://forum.softped...howtopic=510258

stefy, on Mar 9 2009, 19:54, said:

foloseasca XSS


l.e. al naibii limba romana

Edited by adormitu, 09 March 2009 - 20:00.