forum.lissyara.su

Помогите исправить баг,
вообщем есть сайт, который был удачно атакован кулцхакером,
вот лог как я панимаю через переменную 'p' подсадили какой-то левый файл,
соовтветнно надо сделать или какую нить проверку, или что-бы через данную переменную могли выполнятся только файлы которые находятся на сервере.
в файле index.php нашёл такие строки что в них надо добавить что-бы файлы с другого сайта неподсаживались ?
p.s. в google уже был, чё-то ничего дельного ненашёл.....

проверяй путь к файлу через realpath()

можно извратится через parse_url() и если урл не равен заданному -> в жопу переменную....
справочник функций есть? если нету то есть на php.net и где-то был одним аштмл архивом

с пхп совсем плохо,
можете носом тыкнуть, что надо сделать...

- это в примере, тебе надо:
когда идет проверка переменной короче:
замени на: - вот только не помню сервер нейм тащит http или без него....

ADRE писал(а):можно извратится через parse_url()

нда....

ADRE писал(а):if ($zlo['host'] != $_ENV['SERVER_NAME'])

zg писал(а):
if ($zlo['host'] != $_ENV['SERVER_NAME'])

?
непрокатит ?

zg писал(а):

Код: Выделить всё

$page = './'. strtr($page, array('../' => '/', "\0" => ''));
if (realpath($page))
  include($page);
else
  echo "Bad file name $page";

просто добавить в существующий код ?

нет

ну так а что такого? ой бля ... там же много че написано ))) не досмотрел... ) мда то что предлогал - работать не будет .....
-----------------------
strtr() сначала всегда ищет самое длинное совпадение и *НЕ* пытается заменить то, с чем уже работала.
- круто блин ) что \-то таких вещей даже руки не доходили - хотя вроде банальная вещь ....

ADRE писал(а):и *НЕ* пытается заменить то, с чем уже работала.

в отличие от str_replace, которая ещё и жрёт кучу оперативы при этом

ADRE писал(а):там же много че написано )))

действительно -)))

ADRE писал(а): замени на:

Код: Выделить всё

$zlo = parse_url($HTTP_GET_VARS['p']);
if ($zlo['host'] != $_ENV['SERVER_NAME']) {
die('мая испугаться вас');
} else {
@$page=$HTTP_GET_VARS['p'];
else {require($page.".html");
}

- вот только не помню сервер нейм тащит http или без него....

спасибо,
работает

zg писал(а):

ADRE писал(а):и *НЕ* пытается заменить то, с чем уже работала.

в отличие от str_replace, которая ещё и жрёт кучу оперативы при этом

будем знать - а то str_replace в конец достал, долго ссылки заменяет адреса доменов, когда контент парсится )))

moadip писал(а):

ADRE писал(а): замени на:

Код: Выделить всё

$zlo = parse_url($HTTP_GET_VARS['p']);
if ($zlo['host'] != $_ENV['SERVER_NAME']) {
die('мая испугаться вас');
} else {
@$page=$HTTP_GET_VARS['p'];
else {require($page.".html");
}

- вот только не помню сервер нейм тащит http или без него....

спасибо,
работает

и ниче не подгружает? то чего не надо?

не, нормуль
если вставить в переменную ссылку на другой сайт выплёвывает die('мая испугаться вас');