-=Den=-: не много отклонюсь в оффтоп, но затронув глобальный вопрос. А в связи с чем разработчики не делают совершенно банальную защиту фильтрации? чтобы переменные брались только из пост массива, а не через урл, чтобы они обрабатывались хтмспешиалчарс, чтобы длинна переменной была не более столько-то символом, и чтобы переменная соответствовала регулярному выражнию (только буквы) например, или (только цифры).
Для этого же делается одна функция или несколько для разных видов переменных и всё.
Это же так просто вроде бы. Или там ситуация сложнее?
не ковырялся подробнее. для интереса, можешь найти старую дле и сравнить с новой те места, которые они советуют исправить.
Как-то было такое (сам проверял на 2 или 3 варезниках): заходишь по какой-то такой ссылке site.ru/recovery?user=1&mode=0 (неПомнюКакТочно) и движок сбрасывает пароль админа и выводит его на экран. нормально вообще?
тем админам я написал, типа, патчитесь. а ведь тогда туеву хучу сайтов так похакали..
atbk, замени на
<?
echo str_ireplace("</p>","<a class=\"more\" title=\"".$value['h1']."\" href=\"".$url.$page_rewrite[$index]."\">".$full_link."</a>",$value['short']);
?>
он не переопределяет переменную $value['short']
seodude, в случае чего ему сложно будет регулярку исправить, тут нагляднее как-то
<?
if($_REQUEST["script"]=="feedback"){
?>
--- здесь идёт html код (от <html> до </html>) ---
<?
}
else
{
?>
код формы
<?
}
?>
если блог то wordpress
лучше даже
<?
echo str_ireplace("</p>","<a class=\"more\" title=\"".$value['h1']."\" href=\"".$url.$page_rewrite[$index]."\">".$full_link."</a>",$value['short']);
?>
вместо всего поставь:
<?
$value['short']=str_ireplace("</p>","<a class=\"more\" title=\"".$value['h1']."\" href=\"".$url.$page_rewrite[$index]."\">".$full_link."</a>",$value['short']);
echo $value['short'];
?>
http://сайт-на-друпале.ком/node/add/page
не много отклонюсь в оффтоп, но затронув глобальный вопрос. А в связи с чем разработчики не делают совершенно банальную защиту фильтрации? чтобы переменные брались только из пост массива, а не через урл, чтобы они обрабатывались хтмспешиалчарс, чтобы длинна переменной была не более столько-то символом, и чтобы переменная соответствовала регулярному выражнию (только буквы) например, или (только цифры).
Для этого же делается одна функция или несколько для разных видов переменных и всё.
Это же так просто вроде бы. Или там ситуация сложнее?
не ковырялся подробнее. для интереса, можешь найти старую дле и сравнить с новой те места, которые они советуют исправить.
Как-то было такое (сам проверял на 2 или 3 варезниках): заходишь по какой-то такой ссылке site.ru/recovery?user=1&mode=0 (неПомнюКакТочно) и движок сбрасывает пароль админа и выводит его на экран. нормально вообще?
тем админам я написал, типа, патчитесь. а ведь тогда туеву хучу сайтов так похакали..
Движок Dle, сайт http://vsefotoshop.ru
ana1979 добавил 10.02.2011 в 12:38
Версия 9.0
поставь все заплатки с http://dle-news.ru/
два раза уже они находили "критическую уязвимость, связанную с недостаточной фильтрацией входящих данных"
+смени пароль админа, пасс на фтп и на всякий случай почты
попробуй поставить другой шаблон (стандартный, например) и если там выведет нормально,- скопируй код
мб лучше для начала закинуть пару сотен качественных тематических статей, поднять показатели, а уже потом искать авторов?..