🚀 go-pugleaf

Gr0g zeznal(a): 
>Pisze pierwszy raz na ta grupe, wiec witam wszytkich.
>
>czy moze orientujecie sie czy bezpeczne jest doczepienie stron przez include
>ktorych nazwy sa pobierane z parametru:
Tak to nie...


index.php?file=/etc/passwd
:)))

rozwiazanie (malo eleganckie, ale... ): 
index.php?file=a.php


$tabl["a.php"] = "a.php";
$tabl["b.php"] = "b.php";
....

include ($tabl[$file]);

Poza tym mozesz zrobic tak:



index.php?file=a.php
<?
include($file);
?>
>czy podawanie wartosci do zapytan SQL ktore nie sa brane w cudzyslow przez
>parametr jest bezpieczne?:
>
>szukaj.php?orderby=kolumna&pageoffset=20
><?
dodaj tutaj sobie cos typu 
$pageoffset+=0;
if ($orderby == "kolumna") $order="kolumna";
/* albo lepiej case... i sensowne else (else $order="domyslne_sortowanie")*/

$mysql_q="SELECT * FROM tabela ORDER BY $order LIMIT $pageoffset, 25";
mysql_query($mysql_q);
[...]

-- 

Lukasz "casa" Klimek :: casa(AT)YourCGI.Net
Chcesz wiedziec ile osob jest na Twojej stronie? 
------> http://www.YourCGI.Net/index.php <------