les développeurs de forums, les 3/4 des forums sont down /o\

Recherche :

Mot : Pseudo : Filtrer Aller à la page :
Page : 1 2 3 4 5 .. 128 129 130 .. 486 487 488 489 490 491 Page Suivante Page Précédente Bas de page
Auteur	Sujet : les développeurs de forums, les 3/4 des forums sont down /o\

gizmo

Reprise du message précédent :

skylight a écrit :

Gizmo > Oui ? Tu peux être constructif au lieu de rabaisser en permanence sans prouver quelque chose dont tu ne connais pas ?

Bah regarde au début de ton code la vérification sur les cookies et la fonction de selection que tu appelles. Avec ça, n'importe qui peut te faire une SQL injection.

[:benou_grilled]

Message édité par gizmo le 04-06-2004 à 11:40:42

Publicité

fabien

Vive la super 5 !

skylight a écrit :

Non, quand il n'y a pas de quotes c'est que c'est un entier.

Et puis, le WHERE, je vérifie le contenu des variables que j'utilise avant meme d'appeller telle fonction.

Gizmo > Oui ? Tu peux être constructif au lieu de rabaisser en permanence sans prouver quelque chose dont tu ne connais pas ?

tu crois que php fait la difference entre un entier et une chaine de caractere ? :lol:
ben quand tu faire where id= $id

situ met $id =" 1 or 1=1"; ca va te prendre tous les id et pas seulement l'id numero 1.

---------------
✈ Découvre le HFRcoin ✈ - smilies ♥

skylight

Made in France.

Oui ca je suis au courant, c'est dans la liste des choses à faire.

Je rappelle que c'est en cours de codage et que je peux pas tout faire à la fois, hein.

gizmo

skylight a écrit :

Oui ca je suis au courant, c'est dans la liste des choses à faire.

Je rappelle que c'est en cours de codage et que je peux pas tout faire à la fois, hein.

ouais, mais bon, y a pas que celle-là, hein, l'ensemble du code que tu montre là est truffé de trous similaires.

skylight

Made in France.

Fabien a écrit :

PHP fait très bien la différence entre une chaine de caractère et un nombre, ICI, c'est simplement qu'il AUTORISE à utiliser les chaines en tant qu'entier.
Je te rappelle que PHP est un langage vraiment crade....

Va me faire la meme chose en PostGreSQL et on en reparle.
J'utilise les normes, moi monsieur !

Profil supprimé

karamilo a écrit :

Tu ne proteges pas les variables provenant des cookies. On peut faire une injection sql avec.

proteger?

devellope voir

skylight

Made in France.

gizmo a écrit :

ouais, mais bon, y a pas que celle-là, hein, l'ensemble du code que tu montre là est truffé de trous similaires.

Vazy juges sur un fichier de fonction dont tu ne connais pas comment sont faits les appels [:itm]

Harkonnen

Modérateur
Un modo pour les bannir tous

Fabien a écrit :

depuis le debut de ce topic on parle d'optimisation, mais j'ai remarqué que les include() c'est hyper lourd :eek:

formidable le PHP, c'est bien le seul langage que je vois qui rame si on include des fichiers :jap:

---------------
J'ai un string dans l'array (Paris Hilton)

skylight

Made in France.

chacal_one333 a écrit :

proteger?

devellope voir

un simple preg_match("^[a-zA-Z]$",$var);

Profil supprimé

skylight a écrit :

un simple preg_match("^[a-zA-Z]$",$var);

[:opus dei]

Publicité

karamilo

proteger = echapper les simples quotes dans le cas de skylight.
' devient \'
avec addslashes par exemple

A noter que magic_quotes le fait automatiquement mais c'est pas configure sur tous les servers.

Message édité par karamilo le 04-06-2004 à 11:48:04

Profil supprimé

karamilo a écrit :

proteger = echapper les simples quotes dans le cas de skylight.
' devient \'
avec addslashes par exemple

A noter que magic_~~merde~~quotes le fait automatiquement mais c'est pas configure sur tous les servers.

ah ui d'accord.

le fait deja ca

gizmo

skylight a écrit :

Vazy juges sur un fichier de fonction dont tu ne connais pas comment sont faits les appels [:itm]

Les appels quis sont montrés dans le bout de code suffisent à m'en convaincre. M'enfin bon, c'est vrai que tu fais partie de l'élite, t'a bossé avec joce bla bla bla...

skylight

Made in France.

karamilo a écrit :

ou nettoyage de la variable grace à la formidable fonction qui s'appelle nettoyer_expression [:chacal_one333]

fabien

Vive la super 5 !

skylight a écrit :

oui mais bon entre les normes et la sécurité, je choisis direct la sécurité [:itm]

---------------
✈ Découvre le HFRcoin ✈ - smilies ♥

skylight

Made in France.

gizmo a écrit :

Les appels quis sont montrés dans le bout de code suffisent à m'en convaincre. M'enfin bon, c'est vrai que tu fais partie de l'élite, t'a bossé avec joce bla bla bla...

Sans arguments, tu ne dis rien.

Profil supprimé

si moi j'y ai lu "ta yeul "

[:dawa]

fabien

Vive la super 5 !

Harkonnen a écrit :

formidable le PHP, c'est bien le seul langage que je vois qui rame si on include des fichiers :jap:

spa la peine de troller

20 ms c'est peu quand meme mais c'est beaucoup pour une page web [:aloy]

---------------
✈ Découvre le HFRcoin ✈ - smilies ♥

Harkonnen

Modérateur
Un modo pour les bannir tous

gizmo a écrit :

M'enfin bon, c'est vrai que tu fais partie de l'élite, t'a bossé avec joce bla bla bla...

évite les contradictions dans tes posts stp

---------------
J'ai un string dans l'array (Paris Hilton)

karamilo

Code :

<?
function nettoyer_expression ($expression) {
$expression = str_replace(chr(160),"",$expression);
$expression = str_replace("\t","",$expression);
$expression = str_replace("'","'",$expression);
$expression = str_replace("\"",""",$expression);
$expression = str_replace("<","<",$expression);
$expression = str_replace(">",">",$expression);
return trim($expression);
}
$nom_utilisateur = nettoyer_expression('karamilo');
$password_utilisateur = nettoyer_expression("'; DROP DATABASE skylight;//" );
echo "SELECT id_utilisateur FROM utilisateurs
WHERE nom_utilisateur = '$nom_utilisateur'
AND password_utilisateur = '$password_utilisateur'";
?>

Tout est copie colle de ton code, a part l'initialisation des 2 variables.

Resulat :

SELECT id_utilisateur FROM utilisateurs WHERE nom_utilisateur = 'karamilo' AND password_utilisateur = ''; DROP DATABASE skylight;//'

J'ai du mal a voir ce que ca protege.

Le resultat version securise :

SELECT id_utilisateur FROM utilisateurs WHERE nom_utilisateur = 'karamilo' AND password_utilisateur = '\'; DROP DATABASE skylight;//'

skylight

Made in France.

Les ' sont transformés en entités HTML, c'est-à-dire & # 0 3 9 ; (sans les espaces)...

karamilo

non

d'ailleurs, j'ai du mal a voir ou ca se ferait dans ta fonction.

edit: entree ...

$expression = str_replace("'","'",$expression);
ca fait rien ca.

Message édité par karamilo le 04-06-2004 à 12:08:35

skylight

Made in France.

Quand j'ai copié le source sur HFR (ici) vu que c'était une entité HTML, tu vois un apostrophe

En réalité, c'est ceci :

$expression = str_replace("'","& #0 3 9 ;",$expression);
(sans les espaces).

skylight

Made in France.

karamilo a écrit :

non

d'ailleurs, j'ai du mal a voir ou ca se ferait dans ta fonction.

edit: entree ...

$expression = str_replace("'","'",$expression);
ca fait rien ca.

j'ai l'air aussi benêt que ça ? :pfff:

Profil supprimé

c'est quoi ce drop db la?

karamilo

ah ok d'accord, le forum transforme pas le & en & c'est zarb ...

au temps pour moi alors

simogeo

j'ai jamais tué de chats, ...

if (session_is_registered('logged'))

préférer cette syntaxe :
=> if (isset($_SESSION['logged']))

---------------
from here and there -- \o__________________________________ -- la révolution de la terre, en silence

skylight

Made in France.

karamilo a écrit :

ah ok d'accord, le forum transforme pas le & en & c'est zarb ...

au temps pour moi alors

un ptit oubli, mais c'est que je n'ai pas encore traité le parsing des url donc ce n'est pas encore un oubli !

belgique

karamilo a écrit :

ah ok d'accord, le forum transforme pas le & en & c'est zarb ...

au temps pour moi alors

C'est parceque pour le signe par exemple ça merde sec:
Entre les navigateurs qui envoient & #8364; , ceux qui envoient le code windows, ceux qui envoient le code latin-15, on ne s'en sort plus trop.

Je n'ai pas codé de forum mais pour les données utilisateurs j'ai fait un petit filtre qui tente de corriger les choses et ça marche pas mal.

Les caractères html &xxxx semblant valides sont conservés, les & dans un séquence semblant non valides sont transformés en & et les autres caractères windows qui reviennent souvent sont également transformés en entités valides.

Donc en écrivant &amp ;#8364; on voit l'entité html

Message édité par belgique le 04-06-2004 à 12:55:27

drasche

Harkonnen a écrit :

formidable le PHP, c'est bien le seul langage que je vois qui rame si on include des fichiers :jap:

apprend donc le php au lieu de nous dispenser des trolls de bas étage :jap:

---------------
Whichever format the fan may want to listen is fine with us – vinyl, wax cylinders, shellac, 8-track, iPod, cloud storage, cranial implants – just as long as it’s loud and rockin' (Billy Gibbons, ZZ Top)

Core 666

dweis a écrit :

je croie que le système de cache (comme turck mmcache) améliorent énormément de ce coté et que les include ne ralentissent plus du tout avec...

Je confirme :jap:

Message édité par Core 666 le 04-06-2004 à 14:54:30

scull

MySCULL cay bon mangez en!

karamilo a écrit :

J'ai remarqué quelques requetes sans quotes dans les conditions (where), c'est une faille.

Le jour ou tu veux changer completement ton design, de A a Z, donc pas seulement le css, ca va te faire bizarre ...

J'utilise des templates.

Bon g tendance à me répeter, mais non, j'utilise pas ou peu de style CSS !
Je fais tout comme un barbare avec des variables !
Voici quelques url pour un aperçus :
http://forum.free-bb.com/?sid=1&skin2=XP
http://forum.free-bb.com/?sid=1&skin2=light
http://forum.free-bb.com/?sid=1&skin2=blue
http://forum.free-bb.com/?sid=1&skin2=uwbb
http://forum.free-bb.com/?sid=1&skin2=7D
http://forum.free-bb.com/?sid=1&skin2=GCL

Et c'est pas lent ! avec sa j'arrive toujours à de trés bon résultats !
Et je peu tout changer moa sur mon forum, y a pas que la couleur des cellules, des tableaux et des liens qui change.

---------------
Créer son forum gratuit | Mon beau blog phpBB caÿ le mal :o

drasche

personnellement, j'envisage la chose comme suit:
chaque style a un nom évidemment unique, lequel détermine le nom du CSS (le même, pour faire simple), et en dessous, un répertoire contenant icônes, images et compagnie, référencées soit par les pages web elles-mêmes (mais le répertoire est évidemment dynamique), soit par les CSS qui les utilisent.

scull

MySCULL cay bon mangez en!

j'utilise un truc un peu similaire, mais c'est une para.php qui contient toutes les variables en html.
entète et tout...
Cela dans un dossiers différent à chaque fois...

---------------
Créer son forum gratuit | Mon beau blog phpBB caÿ le mal :o

lorill

scull a écrit :

Et je peu tout changer moa sur mon forum, y a pas que la couleur des cellules, des tableaux et des liens qui change.

dans le genre je dénigre sans connaitre, c'est pas mal

Profil supprimé

drasche a écrit :

moi j'ai un repertoire

skin

constitué de plusieurs répertoires (un par theme)

donc
skin/theme_default
skin/user_theme1
..

ensuite chaque répertoire de skin comprend son css plus les images.
ca marche pas mal d'alleuir

et dans mon back-office je fait un listing avec un readdir du répertoire skin/

[edit] des fautes pour Mr antaipai

Message édité par Profil supprimé le 04-06-2004 à 15:30:13

antp

Super Administrateur
Champion des excuses bidons

scull a écrit :

dés maintenant -> dès maintenant
developement -> développement
Possez -> Posez

---------------
mes programmes ·· les voitures dans les films ·· apprenez à écrire

drasche

chacal> oui, je devrais mettre le CSS dans le répertoire theme directement (je l'appelle theme mais bon c'est kifkif )

skylight

Made in France.

scull > mwai, on va dire que ya peu de personnalisation, hein... donc en CSS c'est parfaitement jouable.

Profil supprimé

scull a écrit :

http://forum.free-bb.com/?sid=1&skin2=skinbidon : magnifique !

scull

MySCULL cay bon mangez en!

j'en était sur...
super et alors ?

---------------
Créer son forum gratuit | Mon beau blog phpBB caÿ le mal :o

Publicité

Page : 1 2 3 4 5 .. 128 129 130 .. 486 487 488 489 490 491

Page Suivante

Page Précédente

Haut de page

FORUM HardWare.fr

Programmation

Divers

les développeurs de forums, les 3/4 des forums sont down /o\

Sujets relatifs
question avec les forums phpbb2	[php] trouver la premier place ou inserer un enregistrement (résolu)
Forums phpBB	Qui connait l'algo du Passticket et sa mise en place en VB ?
[Merise] Mise en place d'un MCD	Focus mal placé....
[Blabla/Prog] Les développeurs foromeurs sont-ils des feignasses?	Mise en place d'un formulaire CGI
forums création de site internet	Java - Mise en place d'une api (Servlet)
Plus de sujets relatifs à : les développeurs de forums, les 3/4 des forums sont down /o\

Page générée en 0.117 secondes