Witaj Gościu! ( Zaloguj | Rejestruj )

Forum PHP.pl

3 Stron V   1 2 3 >  
 Reply to this topicStart new topic
> Piórko CMS, CMS lekki jak piórko
ZeTu
post
Post #1





Grupa: Zarejestrowani
Postów: 217
Pomógł: 8
Dołączył: 8.12.2010

Ostrzeżenie: (0%)
-----

Witam
Wykonałem CMS'a i prosiłbym o jego ocenę, jest to mój pierwszy CMS przy pomocy MySQL.
Może szablony zrobiłem takie nie zbyt ładne, ale to tylko prezentacja demo CMS'a.
Demo: http://cms.karol-drag.eu/demo_v1/
Ten CMS, zajmuje tylko 142KB (bez szablonów), a jego funkcje to:
  • Edycja strony głównej
  • Dodawanie, edytowanie i usuwanie podstron
  • Dodawanie, edytowanie i usuwanie linków w menu
  • Formularz kontaktowy
  • Możliwość dodania własnego:
    • Logo
    • Favicon
    • Zrzut ekranu (który jest widoczny, np po wrzuceniu linku na facebook'a)
    • Szablonu
    • Dodatkowo można dodać własne pola w <head></head>
  • Dodałem jeszcze stronkę z nowościami.
Demo: http://cms.karol-drag.eu/demo_v1/

Ten post edytował Daiquiri 25.01.2012, 08:14:34
Powód edycji: [Daiquiri]: Przenoszę do odpowiedniego działu.
Go to the top of the page
+Quote Post
askone
post
Post #2





Grupa: Zarejestrowani
Postów: 654
Pomógł: 121
Dołączył: 27.10.2007
Skąd: Poznań, Łódź

Ostrzeżenie: (0%)
-----

Wszystko fajnie, ale skoro piszesz że szablon zbudowałeś tylko na potrzeby demo to co niby mamy oceniać? Może udostępnisz jakieś konto demo admina abyśmy mogli zajrzeć "do środka"

Pozdrawiam
Go to the top of the page
+Quote Post
ZeTu
post
Post #3





Grupa: Zarejestrowani
Postów: 217
Pomógł: 8
Dołączył: 8.12.2010

Ostrzeżenie: (0%)
-----

Wystarczyło wejść na stronke, której link podałem, to byś wiedział, że jest tam podany login i hasło. Albo po prostu weszłeś na stronke a nie czytałeś co tam jest napisane.
Go to the top of the page
+Quote Post
nospor
post
Post #4





Grupa: Moderatorzy
Postów: 36 557
Pomógł: 6315
Dołączył: 27.12.2004
ałć.... Zetu mam dla Ciebie złą wiadomość. Na ten twój panel admina można wejść bez znajomości loginu i hasła :/ Ja rozumiem, że chciałeś to mieć lekkie jak piórko, ale podstawowe zabezpieczenia to wypadałoby wprowadzić.

O samym cms: nie podoba mi się. Tworzę nową podstrone i nie mam wpływu na jej adres. Ty mi sam przypisujesz adres jako kolejny numer porządkowy :/
Go to the top of the page
+Quote Post
ZeTu
post
Post #5





Grupa: Zarejestrowani
Postów: 217
Pomógł: 8
Dołączył: 8.12.2010

Ostrzeżenie: (0%)
-----

No to jak mam zabezpieczyć?
Go to the top of the page
+Quote Post
nospor
post
Post #6





Grupa: Moderatorzy
Postów: 36 557
Pomógł: 6315
Dołączył: 27.12.2004
Poczytaj o sqlinjection
Go to the top of the page
+Quote Post
ZeTu
post
Post #7





Grupa: Zarejestrowani
Postów: 217
Pomógł: 8
Dołączył: 8.12.2010

Ostrzeżenie: (0%)
-----

Wyczytałem na jednej stronie, że takie coś może zapobiec włamaniom. Czy na pewno jest to skuteczny sposób?
[PHP] pobierz, plaintext 
  1. if (!ereg('^\d+$', $id))
  2. {
  3.     // obsługa niepoprawnych danych
  4. }
[PHP] pobierz, plaintext
Go to the top of the page
+Quote Post
nospor
post
Post #8





Grupa: Moderatorzy
Postów: 36 557
Pomógł: 6315
Dołączył: 27.12.2004
Wrzucasz kawałek kodu, ktory nie wiesz co robi. Ten kawałek kody sprawdza czy dane id to liczba czy nie. Jak to ma sie do hasla i loginu? Nijak.
Poczytaj o sqlinjection. Pełno tego w necie, pełno na naszym forum.
Go to the top of the page
+Quote Post
ZeTu
post
Post #9





Grupa: Zarejestrowani
Postów: 217
Pomógł: 8
Dołączył: 8.12.2010

Ostrzeżenie: (0%)
-----

A przy użyciu "mysql_real_escape_string"?
Go to the top of the page
+Quote Post
nospor
post
Post #10





Grupa: Moderatorzy
Postów: 36 557
Pomógł: 6315
Dołączył: 27.12.2004
zdecydowanie cieplej, jakies 90stopni.
Go to the top of the page
+Quote Post
ZeTu
post
Post #11





Grupa: Zarejestrowani
Postów: 217
Pomógł: 8
Dołączył: 8.12.2010

Ostrzeżenie: (0%)
-----

Czy chodzi o taki kod?
[PHP] pobierz, plaintext 
  1. $var = mysql_real_escape_string( htmlspecialchars( addslashes( $var ) ) );
[PHP] pobierz, plaintext
Go to the top of the page
+Quote Post
nospor
post
Post #12





Grupa: Moderatorzy
Postów: 36 557
Pomógł: 6315
Dołączył: 27.12.2004
htmlspecialchars( addslashes - jest totalnie zbędne
Go to the top of the page
+Quote Post
ZeTu
post
Post #13





Grupa: Zarejestrowani
Postów: 217
Pomógł: 8
Dołączył: 8.12.2010

Ostrzeżenie: (0%)
-----

A teraz ?
[PHP] pobierz, plaintext 
  1. $var = mysql_real_escape_string( pg_escape_string( $var ) );
[PHP] pobierz, plaintext
Go to the top of the page
+Quote Post
skowron-line
post
Post #14





Grupa: Zarejestrowani
Postów: 4 340
Pomógł: 542
Dołączył: 15.01.2006
Skąd: Olsztyn/Warszawa

Ostrzeżenie: (0%)
-----

Cytat(ZeTu @ 25.01.2012, 17:56:22 ) *
A teraz ?
[PHP] pobierz, plaintext 
  1. $var = mysql_real_escape_string( pg_escape_string( $var ) );
[PHP] pobierz, plaintext

Teraz to błysnąłeś
Cytat
This function requires PostgreSQL 7.2 or later.
znasz odrobinę angielski (IMG:style_emoticons/default/questionmark.gif)

Zacznij czytać co jest napisane w manualu a nie na głupa będziesz wpisywał funkcje i pytał czy to zadziała.
Poczytaj co jest źródłem problemu i jak temu zaradzić w temacie o sqlinjection jest napisane jak się przed tym zabezpieczyć

Ten post edytował skowron-line 25.01.2012, 18:02:07
Go to the top of the page
+Quote Post
ZeTu
post
Post #15





Grupa: Zarejestrowani
Postów: 217
Pomógł: 8
Dołączył: 8.12.2010

Ostrzeżenie: (0%)
-----

No to jak mam to zrobić?
Go to the top of the page
+Quote Post
skowron-line
post
Post #16





Grupa: Zarejestrowani
Postów: 4 340
Pomógł: 542
Dołączył: 15.01.2006
Skąd: Olsztyn/Warszawa

Ostrzeżenie: (0%)
-----

Cytat(ZeTu @ 25.01.2012, 18:02:16 ) *
No to jak mam to zrobić?

http://forum.php.pl/index.php?showtopic=23258 przeczytaj i się dowiesz.
Go to the top of the page
+Quote Post
ZeTu
post
Post #17





Grupa: Zarejestrowani
Postów: 217
Pomógł: 8
Dołączył: 8.12.2010

Ostrzeżenie: (0%)
-----

czytałem, ale pierwszy komentarz nie zbyt zadowala i dlatego nie wiem, czy to co opisuje autor postu jest prawidłowe.
Go to the top of the page
+Quote Post
IceManSpy
post
Post #18





Grupa: Zarejestrowani
Postów: 1 006
Pomógł: 111
Dołączył: 23.07.2010
Skąd: Kraków

Ostrzeżenie: (0%)
-----

A przeczytałeś trochę więcej niż 1 stronę?

Co się dowiedziałeś o sqlinjection? Jak na razie, to widać tylko lenistwo.
Go to the top of the page
+Quote Post
ZeTu
post
Post #19





Grupa: Zarejestrowani
Postów: 217
Pomógł: 8
Dołączył: 8.12.2010

Ostrzeżenie: (0%)
-----

Przeczytałem ok. 12 stron.
Sqlinjection zagląda nam do MySQL i wyciąga dane, można też usuwać i zmieniać dane w MySQL, czyli włamywanie się do bazy po przez zwykły formularz który nie zamienia ' i " na znaki tylko odczytuje je jako fragment kodu w php np. gdy w formularzu dopiszemy taki fragment 
[PHP] pobierz, plaintext 
  1. x';DROP TABLE uzytkownicy; SELECT '1
[PHP] pobierz, plaintext
Czyli w ttym przypadku usunie tabele o nazwie uzytkownicy. Dobrze myśle?

A więc czy powinienem użyć
[PHP] pobierz, plaintext 
  1. $text = htmlspecialchars($text, ENT_QUOTES);
[PHP] pobierz, plaintext
i
[PHP] pobierz, plaintext 
  1.     $text = mysql_real_escape_string($text);
[PHP] pobierz, plaintext
Czy jeszcze to nie to?
Go to the top of the page
+Quote Post
IceManSpy
post
Post #20





Grupa: Zarejestrowani
Postów: 1 006
Pomógł: 111
Dołączył: 23.07.2010
Skąd: Kraków

Ostrzeżenie: (0%)
-----

htmlspecialchars wystarczy.
Go to the top of the page
+Quote Post
« Następny starszy · Oceny · Następny nowszy »
 

3 Stron V   1 2 3 >
Reply to this topicStart new topic
2 Użytkowników czyta ten temat (2 Gości i 0 Anonimowych użytkowników)
0 Zarejestrowanych:

 

Tryb wyświetlania: Standardowy · Przełącz na: Linearny+ · Przełącz na: Drzewo

Śledź ten temat · Wyślij temat na e-mail · Wydrukuj ten temat · Subskrybuj to forum

RSS Aktualny czas: 23.08.2025 - 20:38
Powered By IP.Board © 2025  IPS, Inc.
All changes by PHP.pl Administrators
Hosting zapewnia NQ.pl hosting, trac, svn