Łączenie stringu

[BBB]

Witam,

 

Chciałbym w tą linię wstawić GET

 

if (ereg("cur='(id)'",$line)) {

 

zrobiłem tak ale nie działa:

 

if (ereg("cur='(' . $_GET['id'] . ')'",$line)) {

[Tymon]

if (ereg("cur='(" . $_GET['id'] . ")'",$line)) {

Pilnuj znaków, jak używasz " to używaj ", a nie '.

[BBB]

Dzięki :lol:

[BBB]

Przy okazji jeszcze chciałbym zapytać o bezpieczeństwo używania GET, zrobiłem wstawkę którą właściciel strony www może wstawić na swoją stronę. Będzie wklejał np.

 

<?PHP include("http://www.....pl/katalog/wstawka.php?kolor1=0088ff&kolor2=009i77"); ?>

 

I mam takie pytanie, czy coś mi grozi jeśli w katalogu w którym znajduje się plik nie ma haseł?

Da się to jakoś łatwo zabezpieczyć poprzez np. tylko htaccess?

[Piczer]

e?

 

Z tego co mi wiadomo nie można includować zewnętrznych plików php.

[BBB]

w takim razie użyję readfile

 

register globals mam włączone

czy żeby zabezpieczyć się wystarczy wgrać php.ini (z wyłączonym register globals) do katalogu gdzie jest odpalany plik wstawka.php ? Mój serwer to CGI/FastCGI

[BBB]

gdyby zmienna w GET składała się z samych liczb to wystarczyłoby użyć is_numeric

 

<?php

$id = $_GET['id'];

if (is_numeric($id)) {

} else {

echo'error';

}

?>

 

ale jeśli zmienna składa się z liczb i liter ale nie wiecej niż z 6 znaków to można by wprowadzić ograniczenie do właśnie tych 6 znaków, tylko jakiej funkcji użyć?

[gnysek]

substr, addslashes, stripslashes, strlen ... wszystko sie przyda :D

[BBB]

jakby ktoś potrzebował zabezpieczyć $_GET to:

 

<?php

$id = $_GET['id'];

$x = strlen($id);

if ($x <= 6) {

 

echo $id;

 

} else {

echo'error';

}

?>

[Kofel]

Bullszitowo to zrobiłeś, nie lepiej $id = (int) $_GET['id']; ?

[gnysek]

Powiem Ci, że w tej wersji to kwestia sekund aby włamać się na stronę :) A jak użyjesz takiej wersji $id do zaytań SQL, to SQL Injection jak nic można wykorzystać do przejęcia kontroli nad stroną.

[BBB]

no ale przecież (int) nie użyję bo jak wpiszę kolor np. ffffff?

 

 

Powiem Ci, że w tej wersji to kwestia sekund aby włamać się na stronę smile.gif A jak użyjesz takiej wersji $id do zaytań SQL, to SQL Injection jak nic można wykorzystać do przejęcia kontroli nad stroną.

 

zapytań SQL akurat w tym przypadku nie używam, a chyba komend do hakierowania krótszych (bądź równych) niż 6 znaków nie ma

[gnysek]

OR 1=1

 

6 znaków :)

[Piczer]

gnysek, może wywieś flagę, ze swoim OR 1=1, żebyś nie musiał każdemu pisać.

 

SQL akurat w tym przypadku nie używam