ForumCała strona

Nawigacja

Aktualnie online

Gości online: 18

Użytkowników online: 0

Łącznie użytkowników: 25,405
Najnowszy użytkownik: kipolas

Logowanie

Nazwa użytkownika

Hasło



Zarejestruj się

Odzyskaj hasło

Shoutbox

Musisz zalogować się, aby móc dodać wiadomość.

JazOOn
25.06.2025 23:43:19
Dziadziejemy jantom...

jantom
23.06.2025 21:37:31
Z ciekawo?ci pogrzeba?em w historii i jest gorzej ni? my?la?em. Skórka Nadzieja ma ju? 17 lat.

jantom
23.06.2025 21:33:12
... troch? zasiedzia?o Wink

jantom
23.06.2025 21:32:38
Cecha tego, jak z 20+ lat temu pisano strony - tabelki wsz?dzie, szczególnie do tworzenia uk?adów stron. PF d?ugo by? wierny tej tradycji. A obecny szablon Supportu napisa?em z 15 lat temu i chyba mu

Zbigniew@
22.06.2025 17:50:03
Dlaczego forum jest dost?pne tylko dla 10% ludzi? Poniewa? wi?kszo?? osób korzysta z internetu na urz?dzeniach mobilnych.

Pobierz now? wersj?
Pobierz podr?cznik
Zobacz inne oficjalne Supporty
Statystyki supportu
PHP-Fuson PL na Facebooku

RSS

Polecamy hosting SferaHost.pl

Zobacz temat

Polski Oficjalny Support PHP-Fusion » PHP-Fusion v5.00-v6.01 Support » Propozycje u?ytkowników
 Drukuj temat
Dodawanie filmów przez submit.php za pomoc? kodu osad? wideo a bezpiecze?stwo
Joordan
Wyżej  #1 Drukuj posta
Dodany dnia 03.02.2010 19:33:45
Zmodyfikowa?em plik submit.php, tak abym móg? akceptowa? wysy?ane filmy Doda??m do niej równie? funkcje "Podgl?d filmu". Filmy s? dodawane zapomoc? kodu osad? wideo np.
Pobierz kod źródłowy  Rozwiń Kod źródłowy HTML


Czy jest to bezpieczne rozwi?zanie?.


Kod odpowiedzialny za podgl?d filmu
Pobierz kod źródłowy  GeSHi: PHP
  1. if (isset($_POST['preview_film'])) {
  2. 			$film_subject = stripinput($_POST['film_subject']);
  3. 			$film_snippet = stripinput($_POST['film_snippet']);
  4. 			$film_article = stripslash($_POST['film_article']);
  5. 			echo "<center><span class=tytul>";
  6. 			echo $film_subject ;
  7. 			echo "</span><br><br>";
  8. 			echo $film_article ;
  9. 			echo "<br><br></center>";
  10. 			opentable(Opis);
  11. 			echo $film_snippet ;
  12. 			closetable();
  13. 			tablebreak();
  14. 		}
  15. 		if (!isset($_POST&#91;'preview_film'&#93;)) {
  16. 			$film_subject = "";
  17. 			$film_snippet = "";
  18. 			$film_article = "";
  19. 		}
  20.  
  21. <input type='submit' name='preview_film' value='".$locale&#91;'631'&#93;."' class='button'>
Zinterpretowano w sekund: 0.034, wykorzystano GeSHi 1.0.8.10


Wiadomo?? doklejona:
Chodzi o to ?e np. gdy kto? zamiast kodu filmu wpisze </td></td></td></td> to rozjedzie mi si? ca?a strona i tp.

Wiadomo?? doklejona:
Joordan napisa?/a:
Zmodyfikowa?em plik submit.php, tak abym móg? akceptowa? wysy?ane filmy Doda??m do niej równie? funkcje "Podgl?d filmu". Filmy s? dodawane zapomoc? kodu osad? wideo np.
Pobierz kod źródłowy  Rozwiń Kod źródłowy HTML


Czy jest to bezpieczne rozwi?zanie?.


Kod odpowiedzialny za podgl?d filmu
Pobierz kod źródłowy  GeSHi: PHP
  1. if (isset($_POST&#91;'preview_film'&#93;)) {
  2. 			$film_subject = stripinput($_POST&#91;'film_subject'&#93;);
  3. 			$film_snippet = stripinput($_POST&#91;'film_snippet'&#93;);
  4. 			$film_article = stripslashes($_POST&#91;'film_article'&#93;);
  5. 			echo "<center><span class=tytul>";
  6. 			echo $film_subject ;
  7. 			echo "</span><br><br>";
  8. 			echo $film_article ;
  9. 			echo "<br><br></center>";
  10. 			opentable(Opis);
  11. 			echo $film_snippet ;
  12. 			closetable();
  13. 			tablebreak();
  14. 		}
  15. 		if (!isset($_POST&#91;'preview_film'&#93;)) {
  16. 			$film_subject = "";
  17. 			$film_snippet = "";
  18. 			$film_article = "";
  19. 		}
  20.  
  21. <input type='submit' name='preview_film' value='".$locale&#91;'631'&#93;."' class='button'>
Zinterpretowano w sekund: 0.040, wykorzystano GeSHi 1.0.8.10


Wiadomo?? doklejona:
Chodzi o to ?e np. gdy kto? zamiast kodu filmu wpisze </td></td></td></td> to rozjedzie mi si? ca?a strona i tp.


PW od moderatora:
  1. Zmiana nazwy tematu - hoopak 03.02 - 20:57
  2. Przeniesienie tematu - hoopak 03.02 - 20:57
Edytowane przez Joordan dnia 03.02.2010 22:34:06
 
www.filmotekaonline.com
W?cibski Go??
Dodany dnia 06.09.2025 23:45:02
Pan Kontekstualny

Postów: n^x
Data rejestracji: Zawsze

 Polecamy hosting SferaHost.pl
IP: localhost  
Konto ukryte
Wyżej  #2 Drukuj posta
Dodany dnia 03.02.2010 23:25:34
Tzn u?ytkownik podaje jako film kod <object... itp?
Je?eli tak, to nie za dobre rozwi?zanie - lepiej np. bbcode zrobi? do tego i zamienia? na kod ustawiony na sztywno (ale i tak dane filtrowa?).
 
Joordan
Wyżej  #3 Drukuj posta
Dodany dnia 04.02.2010 00:31:51
LukasAMD napisa?/a:
Tzn u?ytkownik podaje jako film kod <object... itp?
Je?eli tak, to nie za dobre rozwi?zanie - lepiej np. bbcode zrobi? do tego i zamienia? na kod ustawiony na sztywno (ale i tak dane filtrowa?).


Nie chc? w ten sposób robi? bo to ma?o uniwersalne.
Ale ogólnie obecne rozwi?zanie jakie niesie zagro?enia ze sob???

Chyba zrobi? formularz dodaj link do filmu np. "http://www.youtube.com/watch?v=oC4gsipGfQU" i sam b?d? dodawa? kod w postaci <object... itp
 
www.filmotekaonline.com
piotrek199214
Wyżej  #4 Drukuj posta
Dodany dnia 04.02.2010 06:42:06
Mo?na zrobi? tak:
U?ytkownik b?dzie wklepywa? adres do filmiku czyli:
Pobierz kod źródłowy  Rozwiń Kod źródłowy

rozdzielczo?? a system b?dzie mia? gotowy wzór czyli:
Pobierz kod źródłowy  Rozwiń Kod źródłowy


Pozdrawiam
Edytowane przez Pieka dnia 07.02.2010 03:05:14
Pomog?em Ci? Wystarczy podzi?kowa? i oznaczy? post jako pomocny pomogl[1]_1.png
Tanie tworzenie wtyczek, masz problem napisz.
 
www.piocom.eu
Joordan
Wyżej  #5 Drukuj posta
Dodany dnia 04.02.2010 16:07:59
piotrek199214 napisa?/a:
Mo?na zrobi? tak:
U?ytkownik b?dzie wklepywa? adres do filmiku czyli:
Pobierz kod źródłowy  Rozwiń Kod źródłowy

rozdzielczo?? a system b?dzie mia? gotowy wzór czyli:
Pobierz kod źródłowy  Rozwiń Kod źródłowy


Pozdrawiam



A teraz popatrz na kod z googlevideo
Pobierz kod źródłowy  GeSHi: XML
  1.  
  2. <embed id=VideoPlayback src=http://video.google.pl/googleplayer.swf?docid=1811233136844420765&hl=pl&fs=true style=width:400px;height:326px allowFullScreen=true allowScriptAccess=always type=application/x-shockwave-flash> </embed>
Zinterpretowano w sekund: 0.000, wykorzystano GeSHi 1.0.8.10



link z osad? wideo
Pobierz kod źródłowy  GeSHi: XML
  1. http://video.google.pl/googleplayer.swf?docid=1811233136844420765&hl=pl&fs=true
Zinterpretowano w sekund: 0.000, wykorzystano GeSHi 1.0.8.10

Link z paska adresu
Pobierz kod źródłowy  GeSHi: XML
  1. http://video.google.pl/videoplay?docid=1811233136844420765&ei=jdtqS-39CY6M2AKov6i5CA&q=video&hl=pl#
Zinterpretowano w sekund: 0.000, wykorzystano GeSHi 1.0.8.10



Przedtem mialem wbity w thema w miejce odpowiadaj?ce za wy?wietlanie filmów kod:

Pobierz kod źródłowy  GeSHi: XML
  1. <object width="800" height="600"><param name="movie" value="zmienna_link"></param><param name="allowFullScreen" value="true"></param><embed src="zmienna_link" type="application/x-shockwave-flash" allowfullscreen="true" width="800" height="zmienna_height"></embed></object>
  2.  
Zinterpretowano w sekund: 0.001, wykorzystano GeSHi 1.0.8.10


Ateraz tylko $zmienna_link
co odpowiada za ca?y kod

Zastanawia?em si? nad takim rozwi?zaniem jak proponujesz ale wydaje mi si? ?e to za du?o kombinowania.
Edytowane przez Pieka dnia 07.02.2010 03:04:03
 
www.filmotekaonline.com
piotrek199214
Wyżej  #6 Drukuj posta
Dodany dnia 04.02.2010 16:17:54
Czy ja wiem czy du?o kombinowania, raczej nie.
Pomog?em Ci? Wystarczy podzi?kowa? i oznaczy? post jako pomocny pomogl[1]_1.png
Tanie tworzenie wtyczek, masz problem napisz.
 
www.piocom.eu
phm
Wyżej  #7 Drukuj posta
Dodany dnia 04.02.2010 21:50:19
Przyznam, ?e nie do ko?ca rozumiem ide? Twojego kodu. U?ytkownik wprowadza link do formularza, Ty go pobierasz i "obrabiasz" w tagi object, itd, odpowiedzialne za prawid?owe wy?wietlenie filmu?

Pytasz, czy to bezpieczne. W Twoim skrypcie nie widz? niczego, co sprawdza?oby poprawno?? wprowadzonych danych.

Stosujesz stripshlashes(), które odpowiada jedynie za zabaw? slashami (znaczkami typu / ) i które stosuje si?, gdy flaga magic_quotes_gpc jest ustawiona (on).
Otrzymane linki przechowujesz najprawdopodobniej w bazie danych (zgaduj?, bo z kodu to te? nie wynika). Do zabaw z wysy?anymi do bazy danych ci?gów znaków, polecam mysql_real_escape_string (w manualu przeczytasz sobie zalety tej funkcji).

Chodzi o to ?e np. gdy kto? zamiast kodu filmu wpisze </td></td></td></td> to rozjedzie mi si? ca?a strona i tp.

Tutaj sam odpowiedzia?e? sobie na pytanie odno?nie bezpiecze?stwa. Nie filtrujesz danych ca?kowicie poprawnie. Twój skrypt podatny jest na XSS oraz HTML Injection (i w zale?no?ci od konfiguracji serwera mo?na podpi?? jeszcze SSI Inj. Smile ).
Ju? t?umacz? jak to dzia?a. Kto?, zamiast linku filmu przesy?a Ci z?o?liwy kod JavaScript, b?d? nawet prost? ramk? prowadz?c? do zawirusowanej strony. Ty, niczego nie?wiadomy sprawdzasz nades?ane linki. Przegl?darka trafia na z?o?liwy kod i wykonuje go (taka ju? jej robota). Jak zaradzi? Twojemu problemowi? S? dwa rozwiazania (i najlepiej zastosowa? oba):
1. pobawi? si? funkcjami takimi jak htmlspecialchars(), czy strip_tags() go usuni?cia wszystkich tagów HTML z wprowadzanego ciagu
2. zaraz po otrzymaniu ci?gu znaków, maj?cego by? linkiem do filmu, sprawdzi? za pomoc? wyra?e? regularnych, czy string jest rzeczywi?cie linkiem (budow? linka ka?dy zna)
Edytowane przez phm dnia 04.02.2010 21:51:08
 
Joordan
Wyżej  #8 Drukuj posta
Dodany dnia 07.02.2010 00:55:34
Super, dziekuje. Naprawde wyczerpa?e? temat i du?o si? od ciebie dowiedzia?em :)

Link do filmu jest oczywi?cie wysy?any do bazy sql.

A idea mia?a by? taka aby ka?dy móg? podejrze? przed wys?aniem, tekst miniatórk? obrazka i film w formie takiej jak na gotowej pod stronie z filmem.

Rezugnuje z tego bo g?owa ju? mnie od tego rozbola?a :)

A je?li w miejscu odpowiedzialnym za wysy?anie linka do bazy, stripshlashes zamienie na stripinput to te? b?dzie dobrze? W-tedy ka?dy kod HTML itp. powinien by? wy?wietlany jako zwyk?y tekst...? Np.:
Pobierz kod źródłowy  Rozwiń Kod źródłowy
Edytowane przez Pieka dnia 07.02.2010 01:07:55
 
www.filmotekaonline.com
phm
Wyżej  #9 Drukuj posta
Dodany dnia 07.02.2010 02:14:16
Powiem w skrócie tak: Cokolwiek wysy?asz do bazy danych - musi by? sprawdzone pod wzgl?dem mo?liwo?ci wstrzykni?cia kodu SQL (SQL Injection).
Cokolwiek wy?wietlasz na stronie w postaci kodu, musi by? sprawdzone pod wzgl?dem tagów (XSS i HTML Injection).
je?li pomog?em - kliknij pomóg? Smile
pajacyk.pl - kliknij w pajacyka Smile
 
Przejdź do forum:
Created by Arox Copyright (C) 2004
Copyright (C) 2004 - 2018 Ekipa PHP-Fusion.pl