Разное

//--><script >alert(document.cookie);</script>

оперативно:)
рассказывайте что теперь прикрутили?:)

Заменил проверку script на

<?php     $str = preg_replace("|<[\s]*script[\s]*>|i","",$str);     $str = preg_replace("|<[\s]*/script[\s]*>|i","",$str); ?>

//--><script language=javascript>alert(document.cookie);</script language=javascript>
Ваш путь порочен изначально!:)

Не совсем, не следует не дооценивать реугулярные выражения :)))

Я не о регулярных выражениях, а в принципе о попытке заткнуть все дырки... мне кажется что тут надо решать задачу как-то иначе.

Полностью согласен. Решение народная мудрость сформировала в виде поговорки "Не ошибается только тот, кто ничего не делает".

Ладно... намек мой вы проигнорировали, поэтому придется назвать слово целиком:

<script> function show_text() { document.form.text.value='Превед --\>\</script\>'; } </script> <form name=form> <textarea name=text></textarea> </form> <a href="#" OnClick="show_text();">сюда</a>

Приз в студию и все такое...

Рекламная пауза.

Хм... чё-то не работает эксплоит....

Так это не эксплоит, а защита от него:)
Если спецсимволы экранировать, то они нормально подставляются в форму, но не позволяют коду выйти за пределы строки.

Надо будет поковыряться в эту сторону, к сожалению коды \60\62 в addcslashes() чего-то не рабатывают, только тупая замена через str_replace(), хотя тоже не плохо - нужно будет применить...

По моим понятиям, достаточно экранировать символы: <>'
В этом случае я не придумал как обойти защиту.

-

А почему \60\62, а не \74\76 ?

Хм... \74\76 - это же вроде J и L

вообще-то там восьмеричные коды... )))
или, что мне более импонирует, 16-ричные \x3C\x3E

Мда, вполне такое возможно, иначе действительно с какого перепою до 37 экранирование идёт. Чего ж тогда мануал советует функцию ord() для определения кодов - любопытно, сейчас попробую.

мануал советует её, чтоб случайно диапазон справа налево не записать. Для этого оно вполне годится.
Я вообще себе не представляю, зачем их надо экранировать?

Почему не записать в лоб

$str = addcslashes($str, '<>');

?

На стыке двух языков всегда будут такие корявки... Именно по этому на других форумах используется специальная ссылка "Ответить с цитатой" - можно вообще цитату убрать, можно обезопасить текст при помощи htmlspecialchars(), можно сделать отдельную ссылку, чтобы цитат подставлялась в textarea - только не удобно будет.

отдельная ссылка вроде нормально - не так часто тут цитируют друг друга

Её тогда нужно помещать там где сейчас "Ответить" и будет целая батарея ссылок - не очень красиво и эргономично: лучше когда под одно действие отводится одна ссылка, а не каждая ссылка под один из вариантов действия.

можно галочку ставить:)

Галочку в портрете пользователя имеете ввиду или около ссылки? Всё равно забывать будут ставить... часто к цитате обращаются уже формируя ответ, отвечая посетитель не думает о том, что ему скоро понадобится цитата (не все думают) - хотелось бы сохранить текущий механизм - когда понадобилось, тогда и ответил.

Угу... а ещё можно большими буквами script писать... придётся регулярными выражениями чистить...

Проверка не завершилась успехом )))

Хм... в смысле?

Я хотел кое что попробовать, но это не получилось :)

Значит вы не слишком злы на окружающих :))) если взломы не срабатывают...

У меня тоже ничего не вышло :)

>Значит вы не слишком злы на окружающих :))) если взломы не срабатывают...
А вот лица попрошу не касацца!:)