9 odpowiedzi w tym temacie

[Fili:P]

Cześć napisałem skrypt rejestracji do mojego pewnego "czegoś", jeżeli mogę się tak wyrazić. W tym temacie podam wam kod, abyście podsunęli mi pomysł jak bardziej zabezpieczyć ten skrypt.

Oto skrypt:

Spoiler

$ip = $_SERVER['REMOTE_ADDR'];
    $sprawdz = $_GET['validation'];

if($sprawdz == '2') //rejestracja
    {
        $rmail=$_POST['r_email'];
        $rrmail=$_POST['r_remail'];
        $rpass=$_POST['r_pass'];
        $rrpass=$_POST['r_rpass'];
        if ($_GET['r_email'] != '')
        {
            exit;
        }
        if ($_GET['r_remail'] != '')
        {
            exit;
        }
        if ($_GET['r_pass'] != '')
        {
            exit;
        }
        if ($_GET['r_rpass'] != '')
        {
            exit;
        }
        $rmail = substr(($rmail),0,32);
        $rrmail = substr(($rrmail),0,32);
        $rpass = substr(addslashes($rpass),0,32);
        $rrpass = substr($rrpass,0,32);
    }

Pozdrawiam i liczę na miłą konwersację.

[Portek]

http://php.net/manua...cape-string.php - ew. http://www.php.net/m...tring.php#98506

[Fili:P]

Dzięki, czekam na coś jeżeli jeszcze jest.

[Hiroshima]

addslashes, htmlspecialchars

[Gh0st]

myślę że

addslashes()

jest najlepszym rozwiązaniem

[Hiroshima]

myślę

nie myśl, sprawdź: http://khlo.co.uk/in...jection-attacks

[DarkGL]

najpierw przypisujesz wartosci do zmiennych z $_GET a potem w ifach sprawdzasz poprzez $_POST potem znów używasz zadeklarowanych zmiennych gdzie tu logika :F ?
wszystko co dostajesz od użytkownika przepuszczaj przez funkcje podane wyżej
sprawdzaj długość stringów tak aby mieściły się one w tabeli sql
i jeszcze funkcja isset także dla wszystkich wartości
isset($_GET['r_email'])
ponieważ skrypt się wywali jeśli nie ma pola o takim kluczu w tabeli $_GET ( dla $_POST też)

[-PainKiller-]

Szkoda, że wszyscy piszą o walidacji danych a nie o "zabezpieczeniu rejestracji".... Zabezpieczenie ma jeszcze szereg innych problemów, kieruj się w kierunku wiarygodności ludzkiej poprzez mail i captcha, no chyba że pewnego dnia chcesz wejść do bazy i zauważyć kilka milionów nowych kont

[DarkGL]

recaptcha to wstawienie kilku linijek do php
łap
http://www.google.com/recaptcha
w plikach downloadu są przykłady jak użyć

[Hiroshima]

nie wiem na ile jest to prawdą ale podobno nowy xrumer nie boi się recaptchy