firany-sklep.pl - Własny CMS sklepu internetowego Opcje

[joordan]

Skrypt pisany w dużym pośpiechu, dla rodzinnej działalności.

Czekam na oceny. (IMG:style_emoticons/default/tongue.gif)

firany-sklep.pl

Ten post edytował joordan 23.05.2013, 20:20:58

[alex011251]

hahhaha. Jak nie mozliwe?(IMG:style_emoticons/default/questionmark.gif) Zawsze powtarzam ze programista a osoba od pentestow topokrewne tematy ale nie te same ;]
Polecam taka moja oto klase:

[PHP] pobierz, plaintext 
<?php
class security {
	function sql($value){
		if(get_magic_quotes_gpc()) {
			$value = mysql_real_escape_string(stripslashes($value));
		} else {
			$value = mysql_real_escape_string($value);
		}
		return $value;
	}
 
	function html($value) {
		$value = htmlspecialchars($value);
		return $value;
	}
 
	function addsql($value) {
		$value = addslashes($value);
		return $value;
	}
 
	function strip($value) {
		$value = stripslashes($value);
		return $value;
	}
 
	function all($value) {
		$value = addslashes(htmlspecialchars($value));
		return $value;
	}
}
?>
[PHP] pobierz, plaintext 

Chroni w 100% przed Sql.injection i Xss

tworzysz normalnie security.php

includujesz w pliku wywolujesz :
przykladowo jak u mnie:

[PHP] pobierz, plaintext 
$dane_login = $security->all($_POST['email']);
[PHP] pobierz, plaintext 

Ogolnie nie wiem jak to piszesz ale cms najlepiej obiektowo. Bo wtedy masz pelna kontrole a strukturalnie sie pogubisz.

jak chcesz rady odnosnie jakie moga byc ataki badz jak sie dobrze przed roznymi zabezpieczyc to na pw przeslij mi gg. Bo na Sql i XSS sie nie konczy (IMG:style_emoticons/default/smile.gif) )





///. H

Ten post edytował alex011251 24.05.2013, 12:07:27

[joordan]

hahhaha. Jak nie mozliwe?(IMG:style_emoticons/default/questionmark.gif) Zawsze powtarzam ze programista a osoba od pentestow topokrewne tematy ale nie te same ;]
Polecam taka moja oto klase:

[PHP] pobierz, plaintext 
<?php
class security {
	function sql($value){
		if(get_magic_quotes_gpc()) {
			$value = mysql_real_escape_string(stripslashes($value));
		} else {
			$value = mysql_real_escape_string($value);
		}
		return $value;
	}
 
	function html($value) {
		$value = htmlspecialchars($value);
		return $value;
	}
 
	function addsql($value) {
		$value = addslashes($value);
		return $value;
	}
 
	function strip($value) {
		$value = stripslashes($value);
		return $value;
	}
 
	function all($value) {
		$value = addslashes(htmlspecialchars($value));
		return $value;
	}
}
?>
[PHP] pobierz, plaintext 

Chroni w 100% przed Sql.injection i Xss

tworzysz normalnie security.php

includujesz w pliku wywolujesz :
przykladowo jak u mnie:

[PHP] pobierz, plaintext 
$dane_login = $security->all($_POST['email']);
[PHP] pobierz, plaintext 

Ogolnie nie wiem jak to piszesz ale cms najlepiej obiektowo. Bo wtedy masz pelna kontrole a strukturalnie sie pogubisz.

jak chcesz rady odnosnie jakie moga byc ataki badz jak sie dobrze przed roznymi zabezpieczyc to na pw przeslij mi gg. Bo na Sql i XSS sie nie konczy (IMG:style_emoticons/default/smile.gif) )





///. H

Tak szczerze to pisałem bez prawie żadnych include typu header footter. Jedynej klasy jakiej użyłem to phpmail.

Rozumiem że jednym z moich problemów jest użycie srip_tag zamiast addslashes...?

Czy addslashes to wystarczające zabezpieczenie przed xss...?

Aktualnie czytam o PDO