Manualai.lt Forumas

Sveiki gyvi. Kaip sekasi? Ilgokai nesilankiau cia Taciau prireike jusu pagalbos. Darau tokia nedidele like sistemuke. Dabar darau, jei zaidejas paspaudes jau like, ji isbrauktu is mysql. Viskas mysql'e atrodo taip: ip/ip/ip/ip ir t.t

if ($id == "like") {
$id = $_GET['k'];
$like = mysql_fetch_assoc(mysql_query("SELECT * FROM Akomentarai WHERE id='$id'"));
if ($like['id'] == null) {
header("Location:?id=anekdotai");
} else {
//Tikrinam, gal zaidejas jau paspaudes like :)
$hei = explode("/",$like['patinka']);

if (in_array($ip,$hei)) {
$randam = array_search($ip,$hei);
function ar($masyvas) {
$ilgis = count($masyvas);
$kitka = array();
for ($i = 0; $i < $ilgis; $i++) {

array_push($kitka,$masyvas[$i]);
}
return $kitka;
}
unset($hei[$randam]);

//78.62.59.74/78.62.59.75/78.62.59.73/78.62.59.71/

$delete = $hei[$randam]."".ar($hei);
if ($like['patinka'] == "")
mysql_query("UPDATE Akomentarai SET patinka='' WHERE id='$id'");
else
mysql_query("UPDATE Akomentarai SET patinka='$delete' WHERE id='$id'");
}


}
}
Taigi pvz mano ip : 777.777.777 ir mysql yra 777.777.777/523.421.746/111.4234.786 Taigi man reikia kad kai jau paspaudi,liktu 523.421.746/111.4234.786 Tikiuosi supratote. Dekui uz betkokia pagalba

visu pirma tai tu paziurek ant kiek skyleta tavo programa:

$id = $_GET['k'];
$like = mysql_fetch_assoc(mysql_query("SELECT * FROM Akomentarai WHERE id='$id'"));

jau nekalbant apie tai, kad nuaojdi mysql_ funkcijas, kurios yra nepatartinos, dar tiesiai is $_GET masyvo, i kuri as tau galiu duoti ka tik uzsimanysiu, dedi i SQL uzklausa.

kas bus, jei as irasysiu i url toki?:

?k='; DROP TABLE Akomentarai; --

o gi nutiktu taip: tavo lenta Akomentarai isnyktu ir jei neturi backupo, tai tu jos nesusigrazintum, o jei ir taip padarytum, tai as galeciau ant taves bot'a uzsiundyt, kuris kas valanda vis patikrintu ar netycia neatkurei jo, ir jei taip - vel ja panaikint.

saugumas yra daznai pamirstamas, taciau tai labai daug nulemia geram programos veikimui.

kiek suprantu cia jau editini kazkoki koda, bet kai kita kursi kazka naujo, kurk naudojantis framework'a koki nors: Phalcon (mano megstamiausias) Zend, Symfony ar kt. iskart bus daug saugumo skyliu uzlopoma ir siaip supratimas atsiras kokybisko kodo. Beto su frameworku pripratus dirbti daug daug greiciau viskas pasidaro

O jei padaryciau $id = htmlentities($id,ENT_QUATES,"utf-8"); ? Ne saugiau butu?

Ne, jėzau, ne. Kodėl išivs gaima pagalvoti, kad html'ui processinti skirta funkcija padės apsaugoti SQL užklausą. htmlentities escapina HTML simbolius. Tam tikrose vietose padės, bet tikrai ne visur.

Jei nori toliau naudoti ext/mysql, tada stringus escapink, o numerius castink į int/float atitinkamai. O geriausia - naudok PDO ir prepared statements.

Nelabai peržiūrėjau kodą, bet kad _GET neišescapintasi ir man užkliuvo.

Tai tiesigo $id = mysql_real_escape_strint($_GET['id']);

O dar kokių saugumo plyšių yra? tas mysql_fetch_assoc kuom bllogas? Aš visada mysql_fetch_array naudoju.