Versio

Hacker check fotoalbum

Webdesign & development » Algemene PHP scripting en meer » Hacker check fotoalbum

Overzicht Reageren

Milo

Milo

10/12/2009 21:40:00
Quote Anchor link
Hey,

Bij mijn fotoalbum is er ook iets opgemerkt over dat hij niet "hackerproof" zou zijn, en dit heb ik ook gezien :P

Nu kwam dir door dat ik de dir letterlijk uit de link haal dus:
$_GET['dir'];
en alleen keek of hij niet leeg was...

ik vroeg me af of je zo kon checken naar het ./ gebeuren

Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
<?php
// VB'tje
$dir = 'Blaat/./../CONFIGS/';

$check = explode('/' $dir);

foreach($check as $var)
{
     if($var == '.' OR $var == '..')
     {
           $controle = FALSE;
     }
     else
     {
           $controle = TRUE;
     }
}

if($controle)
{
// Derest
}
else
{
// een fout
}
?>


Is dit een beetje een goede manier om te checken?
Wel een nadeel is is dat je een map dus niet . mag noemen XD (weet niet of dat uberhaupt mag...)

Tips etc graag!

Gr,
Gewijzigd op 01/01/1970 01:00:00 door Milo
 
PHP hulp

PHP hulp

24/05/2012 20:38:58
Gesponsorde koppelingen:
BHosted Hosting al vanaf € 1,- per maand

Controleer nu gratis jouw domeinnaam:

  
 
Niek s

niek s

10/12/2009 22:00:00
Quote Anchor link
je weet de path van alle foto's toch? check dan gewoon of de opgegeven path in de database staat, zo niet dan dump je een leuke error message en ga je dood, die().
 
Milo

Milo

11/12/2009 08:24:00
Quote Anchor link
Ik weet hoe het script dood moet gaan...
Maar ik gebruik geen database in mijn fotoalbum...

Anders had ik allang me database uitgelezen etc...
En om nu de path's van alle foto's in de database te zetten, nee niet echt een goed plan...
 
Banaan test

banaan test

11/12/2009 09:51:00
Quote Anchor link
Plaats hem maar online :-)
 
Stefan

Stefan

11/12/2009 10:46:00
Quote Anchor link
na explode kan je ook gewoon in_array() doen.
 
Robert Deiman

Robert Deiman

11/12/2009 11:10:00
Quote Anchor link
je kunt ook http://php.net/manual/en/function.substr-count.php gebruiken en controleren op ./ of ../ :)
 
Milo

Milo

11/12/2009 12:44:00
Quote Anchor link
@ Robert Deiman:
Ik denk dat dat iets makkelijker is ;)
Ik zal hem zo derect inbouwen ;)
Gr,
 



Overzicht Reageren

Get Adobe Flash player