Вопрос на засыпку...

Ключевое слово: XSS

/ru/forum/133821

Просмотрел тему но так и не понял как вылечить эту проблему, где искать и где удалять эту затисавшуюся ссылку.

Вообще меня поразили многие участники, предложенной Вами темы, по сути дела, друг другу подкладываем га..вно, а потом ещё и хвалимся этим.

Честно признаюсь, попался бы мне чел, который мне эту свинью подложил, я бы ему лицо за 1 минуту превратил бы в поцарапанную жо..пу.

этой ссылки физически нет, адрес забит в базе яндекса и он его индексирует. Сам контент страницы создается с учетом тех данных, которые передаются скрипту (через GET).

Как вариант - можно перевести форму на заполение только POST-данными, в таком случае при очередном заходе Яндекс увидит пустую страницу. Или (что правильнее) проверять каждое поле на ввод корректных данных для каждого конкретного случая.

Например, здесь теги ни к чему - применяем strip_tags, формат строки должен быть типа такого (не силен в регулярке, это как пример): 'http://[0-9a-zA-Z](.+).[a-zA-Z](.+)/(.+)' - ну и т.д. и т.п.

А в чем свинья?:) Я никого не оправдываю, просто ущерба в данном случае никому не нанесено.

Добавьте в начало скрипта add_link.htm (add_link.php)

такой код:

if ($_GET["name"]){ $name = ""; }

Это к программисту, который такое написал :)

На самом деле решается просто — достаточно преобразовать специальные символы в HTML сущности в выводе, воспользовавшись функцией htmlspecialchars.

согласен

вообще перед выводом какого-либо текста (а тем более отправляемого кем-то) в элементе, в нем надо замнемонизировать определенные символы. чтобы правильно вывести текст в элементе и не портить структуру html

да не парьтесь.

просто закройте от индексации add_link.htm, проблема решится сама.

нужна вам чтоли страница регистрации в индексе ПС?

Проблема не решится, т.к. дыра, которой может воспользоваться злоумышленник, останется. Не следует думать, что таким образом можно только ссылки вставлять. Тем более обезопасить вывод ничуть не сложнее вставки строки в роботс.

Как скрипт каталога называется?

Такие ссылки уже не влияют на ссылочное, прикрыли лавочку:) Можно не беспокоиться.