Mennyire veszélyes ez a "programozói" megoldás (PHP)?
Üdv. A kérdésem a következő: Adott egy sql lekérés, ami az adatbázis egy táblájának neve alapján dolgozik, majd azt illeszti bele a linkbe (pl
?id=news
-> news az adatbázis neve). Nem tudom, hogy egy okosabb programozó megtudja e mondani, hogy ez az id egy adatbázis táblájának a neve, nem pedig pl egy adatbázis másik táblájának mezője, mely alapján lett kiíratva a tartalom (szal pl
SELECT * FROM news WHERE tipus=\'$cikkek\'
-> Így ha adott linkre kattint, aminek az értéke ?id=cikk akkor csak azon sorokat fogja kiíratni a news mezőből melyek típusa \'cikk\' (így a link neve is
?id=cikk
lesz. )) Az egésszel a célom az lenne egyébként, hogy kategóriákba, külön lapokra tudjam szétszedni a cikkeket, híreket anélkül,hogy fizikailag létre keljen hoznom külön php vagy html oldalakat. A kérdésem, hogy mennyire biztonságos ez? mit lehetne tenni azért, hogy biztonságosabb legyen, vagy ez eleve hülye ötlet ebben a formájában? Előre is thx.
válasza:hehe, ezt mintha láttam volna hupon is:)
amugy meg tegyel a valtozok köré mysql_(real_)escape_string() -et es akkor nem lesz gond.
válasza:Még véletlenül se hagyj ilyen támadófelületet. Tegyél bele REFERER-ellenőrzést, de inkább egyáltalán ne használd, mert egy egyszerű javascript-injection gond nélkül kerüli meg az egészet. Mindössze be kell pötyögni vmi iesmit a címsorba: javascript:void(document.forms[0].id.value="ide meg jöhet a fantáziadúsab rész");
Rátolod az entert, és már másképp viselkedik az oldal.
A legbiztosabb, ha nem viszed bele a változót a kérésbe.
Pl.: tököm.php?id=0 (vagy 1, vagy tizenhúsz)
switch( $_POST['id'] )
{
case "1": $bigyo=news; break;
case "2": $bigyo=cikkek; break;
default: $output="Nincs ilyen részleg, vazzeg!"; break;
}
Kapcsolódó kérdések:
Minden jog fenntartva © 2024, www.gyakorikerdesek.hu
GYIK | Szabályzat | Jogi nyilatkozat | Adatvédelem | Cookie beállítások | WebMinute Kft. | Facebook | Kapcsolat: info(kukac)gyakorikerdesek.hu
Ha kifogással szeretne élni valamely tartalommal kapcsolatban, kérjük jelezze e-mailes elérhetőségünkön!