Witam.
Przedstawiam link do moich wypocin.
Szkoliłem się trochę z mysql + php ...

Oto co mi się udało zrobić w między czasie:

http://eksperymentalni.pl/ksiega_gosci/

Proszę o komentarze.
Dla chętnych podeślę cały skrypt.

Login : admin
haslo: test

1. mogę dodać opis o 1 literze
2. popatrz, co ci z księgą narobiłem :]

Spoko
hehe. Powiedz teraz jak mogę to zabezpieczyć i w jaki sposób szybko dodać wpisy?

Zabezpieczyć, to np. cookie, zapis w sesji, czy zapis w bazie danych ip.

Ok np.
W jaki sposób dokładnie to wykonać?

Hmm link nie działa, poza tym nie ma kodu - ciężko powiedzieć czego brakuje

http://eksperymentalni.pl/ksiega123/

Namieszła mi poprzedni użytkownik.
Nie mam pojecia jak zabezpieczyc strone, czytam ciagle rozne tutki i jakoś próbuje do tego dojsć.
Jak ktoś ma jakieś metody to będę wdzięczny.

Najpierw Ci podmieniłem, a potem rozszerzyłem nieco stronkę

hmmm teraz też dasz rade?

Myślałeś, że zwykłe maxlength mnie powstrzyma ?

hehe To powiedz mistrzu jak to zrobiłeś bym mógł godnie się bronić?

Autora ograniczyć do x znaków.

a w tekście rozbijać długie wyrazy albo ustawić odpowiedni overflow.

A tak w ogóle to ten kod jest... nienajlepszej jakości. Używany jest zdeprecjonowany znacznik font, tabelki itp.

Wiem. Nie stosowałem dla wszystkiego css.
Miałem podszkolić się w mysql i phpie.

Czy mógłbyś jaśniej wytłumaczyć w jaki sposób manipulujesz danymi?

Dobra z długością sobie poradziłem Teraz java;)

Co do kodu, pisałeś że możesz dać a ja czekam ;]

Spoko zaraz wrzucę.

Wiem co to java i co to javascript
Spokojna głowa ... bardziej mnie martwi że nie umiem ani tego ani tamtego


Tak jak pisałem - głównie szkoliłem się w php + mysql.
Nie zadbałem o style estetykę kodu, więc nie miejcie dla mnie za złe

Mój pierwszy skrypt PHP + mysql

Skoro wiesz, to pisz JS ew. Javascript bo tam nie ma Javy ;]

Nadal czekam na kod. ;]

Jeśli odczytujesz z bazy table jest uzasadnione.Font w css.
Podaję przykład ograniczeń w formularzu:
<?php
$opis = trim($_POST['opis']);
if (!empty($_POST['opis']) && (substr_count($opis, '<') <=0 )) //brak tagów html
if (!empty($_POST['opis']) && (substr_count($opis, ' ') >0 )) //jest spacja
{
....
Ograniczenia można oczywiście mnożyć wykluczając złośliwą formę wpisów.

Super : Dzięki wielkie.

Wezmę radę z css do siebie.
Nie wykluczyłem całkowicie css.

Wstawiłem kod jak ktoś chce sobie pobrać.

Login do panelu: admin
Hasło : 123

Brak doctype
Nie zamykasz tagu html

Masz dwa tagi body z czego jeden pusty a drugi niezamknięty.

Tutaj aż prosi się o szablony. ;]

Przeoczyłem Body a o doctype zapomniałem
Fifi ... chciałem skupić się na kodzie a nie na wyglądzie kodu.
Mógłbym zastosować css dla całego skryptu.

Jak możesz to powiedz co byś jeszcze dodał?

Jedziemy dalej, logowanie wygląda tak:

[PHP] pobierz, plaintext 
			function pobierz_dane($User,$Pass) {
 
			db_connect();
			$sprawdz = "SELECT * FROM logowanie WHERE login = '$User' AND haslo = '$Pass'";
			$query = mysql_query($sprawdz);
			$row = mysql_fetch_assoc($query);
 
			return $row;
			}
 
	$row = pobierz_dane($_POST['imie'],$_POST['nazwisko']);
[PHP] pobierz, plaintext 

Ratuje Cię chyba magic_quotes, bo inaczej wystarczy zwykły:
admin' /*

Błąd w walidacji:

[PHP] pobierz, plaintext 
if ( empty($autor) | empty($opis)) 
[PHP] pobierz, plaintext 

Raczej || powinno być

Co do magic_quotes przy usuwaniu też Cię ratuje przed:
usun=del&id=' or 1=1 /*

Jednak mogę bez zalogowania się usuwać wpisy, coś jest nie tak.
Przy okazji pozwoliłem sobie wywalić wszystkie wpisy bo i tak zaśmiecały.

Jak zmieniłeś dla mnie czcionki w nagłówkach?

Nie zmieniałem, popraw błędy o których napisałem. ;]

Poza tym kody typu:

[PHP] pobierz, plaintext 
			<?php
 
			echo "<table border=\"0\" width=\"1100\" align=\"center\" cellspacing=\"0\" cellpadding=\"0\">";
 
			echo "<tr>";
			echo "<td width=\"1100\" height=\"203\" valign=\"middle\" align=\"center\" background=\"ksiega_01.png\"></td>";
			echo "</tr>";
 
			echo "<tr>";
			echo "<td width=\"1100\" valign=\"top\" align=\"center\" background=\"ksiega_02.png\">";
 
			echo "<form action=\"potwierdzenie.php\" method=\"post\">";
			echo "<table border=\"0\" width=\"900\" align=\"center\" cellspacing=\"5\" cellpadding=\"5\">";
 
			echo "<tr background=\"he1.jpg\">";
			echo "<td width=\"200\" valign=\"middle\" align=\"left\"><b>Autor</b></td>";
			echo "<td width=\"700\" valign=\"middle\" align=\"left\"><b>Opis</b></td>";
			echo "</tr>";
 
			echo "<tr>";
			echo "<td width=\"200\" valign=\"top\" align=\"left\"><input type=\"text\" maxlength=\"20\" name=\"autor\" id=\"pole1\"></td>";
			echo "<td width=\"700\" valign=\"top\" align=\"left\"><textarea id=\"pole2\" name=\"opis\"></textarea></td>";
			echo "</tr>";
 
			echo "<tr>";
			echo "<td width=\"200\" valign=\"middle\" align=\"left\"></td>";
			echo "<td width=\"700\" valign=\"middle\" align=\"left\"><input type=\"submit\" name=\"dodaj\" value=\"Dodaj do księgi\"></form></td>";
			echo "</tr>";
 
			echo "</table>";
 
			echo "</td></tr>";
 
			$data = date("Y-m-d");
			$godzina = date("H:i");
 
			echo "<tr>";
			echo "<td width=\"1100\" height=\"71\" valign=\"middle\" align=\"center\" background=\"ksiega_03.png\"><font size=\"2\" color=\"gray\">Mamy dzisiaj: <b>".$data."</b> godzinę: <b>".$godzina."</b></font></td>";
			echo "</tr>";
			echo "</table>";
 
			?>
[PHP] pobierz, plaintext 

Możesz spokojnie zamienić na:

[PHP] pobierz, plaintext 
			<table border="0" width="1100" align="center" cellspacing="0" cellpadding="0">
 
			<tr>
			<td width="1100" height="203" valign="middle" align="center" background="ksiega_01.png"></td>
			</tr>
 
			<tr>
			<td width="1100" valign="top" align="center" background="ksiega_02.png">
 
			<form action="potwierdzenie.php" method="post">
			<table border="0" width="900" align="center" cellspacing="5" cellpadding="5">
 
			<tr background="he1.jpg">
			<td width="200" valign="middle" align="left"><b>Autor</b></td>
			<td width="700" valign="middle" align="left"><b>Opis</b></td>
			</tr>
 
			<tr>
			<td width="200" valign="top" align="left"><input type="text" maxlength="20" name="autor" id="pole1"></td>
			<td width="700" valign="top" align="left"><textarea id="pole2" name="opis"></textarea></td>
			</tr>
 
			<tr>
			<td width="200" valign="middle" align="left"></td>
			<td width="700" valign="middle" align="left"><input type="submit" name="dodaj" value="Dodaj do księgi"></form></td>
			</tr>
 
			</table>
 
			</td></tr>
		<?php
			$data = date("Y-m-d");
			$godzina = date("H:i");
		?>
			<tr>
			<td width="1100" height="71" valign="middle" align="center" background="ksiega_03.png"><font size="2" color="gray">Mamy dzisiaj: <b><?php echo $data; ?></b> godzinę: <b><?php echo $godzina; ?></b></font></td>
			</tr>
			</table>
 
[PHP] pobierz, plaintext 

Po co przepuszczasz tyle html przez parser w dodatku w cudzysłowach " a nie apostrofach ' ?

Fifi - wiem że zmieniłeś
Czy możesz udzielić mi informacji w jaki sposób to zrobiłeś?
Geniuszem nie jestem a dobrych rad potrzebuję

A jak dodasz wpisz to dalej jest taka sama "zmieniona" czcionka? Serio, nie zmieniałem.

Zajmij się tym, czym pisałem! Wrzuć poprawiony kod, będę pomagał dalej.

Teraz spróbuj usunąć wpis

No nie da się, poprawiłeś. Tylko to? A może zastosowałeś się do większej ilości moich rad? Wstaw poprawiony kod, będziemy przeglądali dalej.

Nie usunąłem z kodu php - htmla.
Co tam jeszcze miałem zastosować oprócz styli?

Wcześniej pokazałem Ci brak filtracji jakiejkolwiek, co umożliwi atak SQL INJECTION

Jak mam zrobić tą filtrację?

Tyle jest tematów odnośnie SQL INJECTION, że naprawdę mógłbyś wpierw ich poszukać...

No właśnie aż za dużo tego ... nie wiem od czego zacząć ! wujek google dużo mówi ...

Wpisałem w google:
php sqlinjection

Już pierwsze dwa wyniki wyjaśniają wszystko
http://www.poradnik-webmastera.com/artykul...l_injection.php
http://webmade.org/porady/bezpieczenstwo-p...on-xss-csrf.php

Spoko. Zobaczę. Dzięki

Fifi wrzucam księge na ftp.
KSIĘGA GOŚCI ! - POBIERZ

link do księgi gości - online

log: admin
pas: 123

Looknij co tam nie pasuje.
Nie usuwałem z php kodu html.

[PHP] pobierz, plaintext 
/* Porcjowanie wyników*/
				$ile = "SELECT id from wpisy";
				$query = mysql_query($ile);
				$licz = mysql_num_rows($query);
[PHP] pobierz, plaintext 

Wyobraź sobie teraz, że masz milion rekordów. Chcąc policzyć ich ilośc, pobierasz wszystkie te milion rekordów na serwer....
Do liczenia liczby rekordów używa sie
select count(*) from tabela
liczeniem ma się zając baza i ma zwrócić tylko liczbę

[PHP] pobierz, plaintext 
 
			/* Porcjowanie wyników*/
				$ile = "SELECT id from wpisy";
				$query = mysql_query($ile);
				$licz = mysql_num_rows($query);
 
				for ($i=0; $i < ($licz / $ile_wynikow); $i++) {
				$ink = $i +1;
				echo "<font size=\"1\" color=\"gray\"><a id=\"dodaj\" href=\"admin.php?strona=$i\">[ $ink ]</a></font>";
				}
 
 
		echo "</td></tr>";
 
		$ile = "SELECT id from wpisy";
		$query = mysql_query($ile);
		$licz = mysql_num_rows($query);
 
		$data = date("Y-m-d");
		$godzina = date("H:i");
[PHP] pobierz, plaintext 

To też jest dobre. Raz liczysz liczbę rekordów i parę linijek później znowu liczysz liczbę rekordów...

Spoko już poprawiam.

Każdy może edytować wpisy, nawet osoba nie zalogowana
http://eksperymentalni.pl/ksiega123/edytuj.php?id=31

Poprawiłem wszystko

Wszystko? Znaczy napisałeś od nowa całą aplikację? Bo tylko w ten sposób można poprawić tam wszystko (przy okazji robiąc masę innych błędów )

To poproszę o szczegółowe błędy:)

Przy kliknięciu edytuj prosi o zalgowanie, po czym nie przenosi do strony edycji

Ok, nie ma problemu gadam dalej:

mysql_escape_string

U mnie jej nie ma.

Zastąp:
mysql_real_escape_string

To:

[PHP] pobierz, plaintext 
$wykonaj = "DELETE FROM wpisy where id='".$id."'";
[PHP] pobierz, plaintext 

Powinno raczej wyglądać o tak:

[PHP] pobierz, plaintext 
$wykonaj = 'DELETE FROM `wpisy` WHERE `id` = '.(int) $id;
[PHP] pobierz, plaintext 

Tutaj:

[PHP] pobierz, plaintext 
			$autor = strip_tags($autor);
			$opis = strip_tags($opis);
			$ip = $_SERVER['REMOTE_ADDR'];
			$data = date("Y-m-d H:i:s");
			$query = "insert into wpisy value(NULL,\"$autor\", \"$opis\", \"$data\" ,\"$ip\")";
[PHP] pobierz, plaintext 

Skupiasz się na XSS zapominając o SQL Injection

Nie do końca zastosowałeś się do rady nospora, liczysz po stronie bazy ale nadal dwa razy:

[PHP] pobierz, plaintext 
				/* Porcjowanie wyników*/
				$ile = "SELECT count(*) AS ilosc FROM wpisy";
				$query = mysql_query($ile);
				$licz = mysql_fetch_assoc($query);
				$licz = $licz['ilosc'];
 
				for ($i=0; $i < ($licz / $ile_wynikow); $i++) {
				$ink = $i +1;
				echo "<font size=\"1\" color=\"gray\"><a id=\"dodaj\" href=\"index.php?strona=$i\">[ $ink ]</a></font>";
				}
 
 
		echo "</td></tr>";
 
		$ile = "SELECT count(*) AS ilosc FROM wpisy";
		$query = mysql_query($ile);
		$licz = mysql_fetch_assoc($query);
		$licz = $licz['ilosc'];
[PHP] pobierz, plaintext 

Pytanie: Po co w sesji trzymasz hasło?

Kolejny przykład gdzie patrzysz tylko na XSS:

[PHP] pobierz, plaintext 
			$opis = $_POST['opis'];
			$id = $_GET['id'];
 
			$opis = strip_tags($opis);
 
			$query = "UPDATE wpisy SET opis = '$opis' WHERE id = '$id'";
[PHP] pobierz, plaintext 

Rzutowanie id na inta masz wyżej i nie wstawiaj liczby jako string! Po co dodatkowo obciążać bazę?

Jak zwykle:

[PHP] pobierz, plaintext 
$zmienna4 = $_GET['id'];
	$rekord = ("SELECT * FROM wpisy where id = '$zmienna4'") or die ("Problem !");
[PHP] pobierz, plaintext 

ja tam wpiszę sobie:
' or 1=1 union select interesujace,pola from logowanie /*

Rzutowanie jak wyżej.

W configu dajesz nam dane do bazy.

[PHP] pobierz, plaintext 
if ( empty($_POST['haslo2']) | empty($_POST['haslo1']))
[PHP] pobierz, plaintext 

or to inaczej || a nie |

Starczy Ci roboty na dziś, popraw i mogę sprawdzać dalej.