vaag

Door Harm A op 24-02-2004 17:45

1.285 views

als ik dit script gebruik hoort ie gewoon de invoer in een bestandje te schrijven mar hij maakt van alle " dingen \" dingen

<?
if($profielhtml == ""){
include "members/profiel$login.php";
echo"
<form name=\"formulier\" method='POST' action='ingelogd.php?d=editprofiel'>
<script language=\"JavaScript1.2\" type=\"text/javascript\" src=\"ubbc.js\"></script>
<script language=\"JavaScript1.2\" type=\"text/javascript\" src=\"knoppen.js\"></script><textarea rows=\"12\" cols=\"45\" name=\"profielhtml\">$bericht</textarea><br>
<input type='submit' value='Edit!' style=\"background-color: #FFFFFF; color: #000000; font-family: Verdana; font-size: 8 pt; border: 1 solid #A1A1A1\"></form>";
} else {
$gegevens = $_POST["profielhtml"];
$file3 = fopen("members/profiel$login.php","w");
fputs ($file3,"<?\n\$bericht = \"$gegevens\"\n?>");
fclose($file3);
echo"
<b>Klaar!<b><form name=\"formulier\" method='POST' action='ingelogd.php?d=editprofiel'>
<script language=\"JavaScript1.2\" type=\"text/javascript\" src=\"ubbc.js\"></script>
<script language=\"JavaScript1.2\" type=\"text/javascript\" src=\"knoppen.js\"></script><textarea rows=\"12\" cols=\"45\" name=\"profielhtml\">$bericht</textarea><br>
<input type='submit' value='Edit!' style=\"background-color: #FFFFFF; color: #000000; font-family: Verdana; font-size: 8 pt; border: 1 solid #A1A1A1\"></form>";
}
?>

er staat toch nergens dat dat zou moeten gebeuren???????

? Onbekende gebruiker

25-02-2004 12:38

Dat heet register_globals en dat zorgt ervoor dat alle " worden ge-escapt ... Dit is in eerste instantie voor de veiligheid anders kan ik bijvoorbeeld rechtstreeks commando's geven aan sql ..

Een voorbeeld
jouw login werkt in php op basis van een regel waarin username en wachtwoord moeten voorkomen

$sql = 'select * from users where username = "'.$username.'" and wachtwoord = "
.$password.'"';

als je nu een formulier hebt en ik vul in als login
iets" or username like "%"
dan zou ik binnen zijn .. dat wil je niet

oplossing voor jouw probleem is simpel
$tekst = stripslashes($tekst);

groetjes
Peanuts

H Harm A

25-02-2004 18:18

bedankt maar ik gebruik het als edit profiel pagina

mzzl
Harm

p peanuts

26-02-2004 13:28

Het was maar een voorbeeld het principe blijft voor alle doeleinde gelijk!!

de oplossing is nogsteeds stripslashes()

Reageren

Inloggen om te reageren