Форум: Форум PHPФорум ApacheФорум Регулярные ВыраженияФорум MySQLHTML+CSS+JavaScriptФорум FlashРазное
Новые темы: 0000000
PHP. Практика создания Web-сайтов (второе издание). Авторы: Кузнецов М.В., Симдянов И.В. PHP 5. На примерах. Авторы: Кузнецов М.В., Симдянов И.В., Голышев С.В. Объектно-ориентированное программирование на PHP. Авторы: Кузнецов М.В., Симдянов И.В. C++. Мастер-класс в задачах и примерах. Авторы: Кузнецов М.В., Симдянов И.В. MySQL на примерах. Авторы: Кузнецов М.В., Симдянов И.В.
ВСЕ НАШИ КНИГИ
Консультационный центр SoftTime

Форум PHP

Выбрать другой форум

 

Здравствуйте, Посетитель!

вид форума:
Линейный форум (новые сообщения вниз) Структурный форум

тема: Взлом списка SELECT

Сообщения:  [1-10]    [11-20]   [21-30]  [31-32] 

 
 автор: sega_z   (16.05.2012 в 11:53)   письмо автору
 
   для: confirm   (16.05.2012 в 11:38)
 

Да, действительно, все имена полей видно в исходном коде страниц...

  Ответить  
 
 автор: confirm   (16.05.2012 в 11:38)   письмо автору
 
   для: sega_z   (16.05.2012 в 11:36)
 

Тяжелый случай. Что делает ваш php-код, как не "рожает" html страницу, которая таки будет отдана пользователю. Так? А любой браузер позволяет просмотреть исходный код страницы. А если можно просмотреть код страницы, то будет ли тайной для пользователя имена полей формы?

  Ответить  
 
 автор: sega_z   (16.05.2012 в 11:36)   письмо автору
 
   для: confirm   (16.05.2012 в 11:01)
 

А где именно оно отображается?
php код ведь не отображается у клиента.

  Ответить  
 
 автор: confirm   (16.05.2012 в 11:01)   письмо автору
 
   для: sega_z   (16.05.2012 в 10:42)
 

Как можно не знать имя, если вы его отдаете клиенту?

  Ответить  
 
 автор: sega_z   (16.05.2012 в 10:42)   письмо автору
 
   для: confirm   (16.05.2012 в 03:47)
 

А вообще, можно ли каким то образом подставить своё значение в список SELECT не зная его "name".?

  Ответить  
 
 автор: confirm   (16.05.2012 в 03:47)   письмо автору
 
   для: Гавриленко Дмитрий   (15.05.2012 в 21:39)
 

Это слишком раздуто.
Если значения чинно в ряд, достаточно проверки после int на ноль и не более.
Если значения списков, чекбоксов, радиокнопок, и др., это ключи таблиц, и не обязательно упорядоченных, то лучше хранить на время сеанса слепок этих ключей как массив, с которыми будет легко сравнить пришедшие.

  Ответить  
 
 автор: Гавриленко Дмитрий   (15.05.2012 в 21:39)   письмо автору
 
   для: sega_z   (14.05.2012 в 21:14)
 

Как уже было написано следует использовать



<select name="tip" class="pole" id="tip">
<option>Выберите...</option> 
<option value="1">Продам</option>  
<option value="2">Куплю</option>  
<option value="3">Даром</option>  
<option value="4">Обмен</option>  
</select>



Обработчик уже должен "определить" корректны ли входящие данные.

примерно таким образом должно это быть...


<?

$tip 
$_POS['tip']
switch (
$tip) {
case 
1:
    
//Делать действия если пользователь выбрал Продам
    
break;
case 
2:
    
//Делать действия если пользователь выбрал Куплю
    
break;
case 
3:
    
//Делать действия если пользователь выбрал Даром
    
break;
case 
4:
    
//Делать действия если пользователь выбрал Обмен
    
break;
default:
    
//Если пользователь подставил свое значение ил нечего не выбрал.
}

?>

  Ответить  
 
 автор: Sfinks   (15.05.2012 в 15:08)   письмо автору
 
   для: cheops   (15.05.2012 в 14:25)
 

Пока не признается. А какая разница признался сам или "и так понятно". И даже если признается.... И дело даже не в том, что ТУТ ПОМОГАЮТ. Ну не помогут тут - помогут в другом месте. И даже если конкретно Вы не поможете или я не помогу, всерн найдется кто-то другой.... И он поможет не ради помощи, а из спортивного интереса.... Скучно, нечем заняться, а тут ребус подкидывают. Интересно ведь? =) Бороться средствами "не помогания" с этим бесполезно. И я это никому не в упрек сказал. Просто констатировал факт =)

  Ответить  
 
 автор: cheops   (15.05.2012 в 14:25)   письмо автору
 
   для: Sfinks   (15.05.2012 в 13:14)
 

Ну как всем... в протоколе HTTP есть немного политики, которая гласит, что клиент - всегда прав, хочет он использовать анимайзер - нельзя запрещать, может у него ВИЧ или какая другая болезнь и он не хочет, чтобы окружающие об этом знали. Хочет человек получать информацию без вашей рекламы и вообще все перефигачить при помощи своего браузера или скрипта - это его человека дело, он на своей машине, а вы на своей, он не указывает как вам сервер организовывать, а вы не навязывайте ему клиентские решения. В общем полный расцвет либеральных идей :)

Поэтому и помогаем пока человек не говорит, я хочу украсть информацию, выложить и выдать как свою, очень денег нужно, а мне не только словами запрещают, но и всячески мешают... т.е. все честные, белые и пушистые до тех пор, пока сами не признаются в обратном. Т.е. в самой "обдирке" сайта ничего противозаконного нет, противозаконное начинается, когда результаты не для себя, а для других, а владельцы - против.

  Ответить  
 
 автор: Sfinks   (15.05.2012 в 13:14)   письмо автору
 
   для: confirm   (15.05.2012 в 12:24)
 

> Вот только не разглашайте "тайн", а то гляди наплодите своими руками пакостников. )
Ну.... Тут на счет этики.... Вы не замечали, что тут всем помогают? Заходит чел, говорит (грубо) "помогите (ободрать|ограбить|пропарсить) сайт" и ему помогают =) Да че греха таить - сам с этого начинал =) Ну на счет того что не трепать, когда за язык не тянут - намек понял =)

  Ответить  

Сообщения:  [1-10]    [11-20]   [21-30]  [31-32] 

Форум разработан IT-студией SoftTime
Rambler's Top100
вверх

Rambler's Top100 Яндекс.Метрика Яндекс цитирования