localhost (01.12.2011/13:00)Если данные не идут на ввод/вывод, то их не нужно фильтровать, если конечно они не используютсо в качестве аргументов для eval, exec, system и т.д.
То есть если я правильно понял код то пока переменная $error не будет выведена то она не представляет опасности какой бы код она не содержала?
Вопросы по инъекциям
2.19K
L!MP
1 дек 2011 г., 16:05
localhost
1 дек 2011 г., 16:06
OnLine Quest Game
k_2 (01.12.2011/13:01)Но он дает значение переменой,то есть то что придет в гете то и будет в переменноq $error? и если ее где либо вывести то будет уязвимость?
Нет, через это нельзя. Так как в этом примере метод $_GET нигде неиспользуется. Идёт только проверка на его существование.
localhost
1 дек 2011 г., 16:07
OnLine Quest Game
k_2 (01.12.2011/13:03)Такс спасибо,теперь разобрался.
Ты переменной $error присвоил значение 'error', к методу гет она неимеет непосредственного отношения.
Просто во многих местах использую данную фигню.
localhost (01.12.2011/13:06)Нет, в твоём примере всё нетак.
Но он дает значение переменой,то есть то что придет в гете то и будет в переменноq $error? и если ее где либо вывести то будет уязвимость?
Если в методом гет значению error присвоено значение (любое, даже ноль), то переменной $error присваивается значение 'error' (само слово error, а не значение метода).
dont
1 дек 2011 г., 17:19
localhost, В этом нет, а вот если будет так:
$error= $_GET['error'] ;
echo $error ;
то будет уязвимость
$error= $_GET['error'] ;
echo $error ;
то будет уязвимость
Kip-OK
1 дек 2011 г., 17:21
Йытлеж Пок пик
хорошая тема. вы тут по подробнее о фильтрации рассказывайте. я с удовольствием почитаю
Тему закрепил.
REALball
1 дек 2011 г., 17:37
ПФК ЦСКА forever!
А если так:
То будет дырко?
$id = abs(intval($_GET['id']));
echo $id;То будет дырко?
Jane
1 дек 2011 г., 17:40
Блиносвёрт ?
такая тема уже есть в разделе безопасности, недавно читала на досуге! правда старая она, 2009 года, но все равно почему бы не продолжить было?
REALball
1 дек 2011 г., 17:43
ПФК ЦСКА forever!
Jane (01.12.2011/14:40)Ссылку бы...
такая тема уже есть в разделе безопасности, недавно читала на досуге! правда старая она, 2009 года, но все равно почему бы не продолжить было?
Всего: 67
© 2024, JohnCMS