Web-Inferface für Datenbankanbindung - Seite 3

litterauspirna · 05.01.2009, 18:18

Na da kannst mal schauen,aber sagen wir mal so es hatte was positives,ich habe viel neues dazu gelernt,jedoch bin ich noch lange nicht am Ende.

Nikoschs Wink mit dem Zaunspfahl

djscaleo · 05.01.2009, 18:20

Nur weil ich anderen die möglichkeit geben will, ein cms proggen zu können?

Ich kann das ja gerne auch hier in nen ganz normales Thread schreiben...
Ich beschreib ja nur die Grundlagen...

Bei Wiki siehts aber besser aus...

Oder ich biete direkt das SkyCMS zum Download an...

Nikoschs Wink mit dem Zaunspfahl

?????????

Außerdem war ja auch nicht nur CMS zur rede sondern auch anders ... ua ein Shop, und der Funktioniert mittlerweile kommplett... ich arbeite nur noch daran, das jeder User Produkte reinstellen kann und die Rechnungen dafür gesplitet werden...

GelaMu · 05.01.2009, 18:29

Zitat:

Zitat von djscaleo

Meine Website ist für meine sachen, aber ich hab schon 4 Seiten, da kann ne 5. nicht schaden... Wiki kann man sich ja glaub ich sogar runterladen... Übrigens nur so nen Tip: ImWiki is noch das Demologo installiert...

Hallo djscaleo,

ich glaube da muss noch einiges gefiltert/validiert werden: Gymnasium - August-Dicke-Schule :: Solingen
Vielleicht mal auf das Vorkommen von ".." prüfen, oder noch besser: mach es so, dass du keine Dateinamen übergibst, sondern einfach den Namen des Moduls, wie z.B. "site=guestbook". Und im Script sagst du sowas wie:

PHP-Code:

  <?php
$site = str_replace("..", "", $_GET["site"]);
$siteFile = "sites/".$site.".php";
if(is_file($siteFile)) {
   include($siteFile);
}
?>

nikosch · 05.01.2009, 18:32

Autsch.

djscaleo · 05.01.2009, 18:33

Zitat:

Zitat von GelaMu

PHP-Code:

  <?php
$site = str_replace("..", "", $_GET["site"]);
$siteFile = "sites/".$site.".php";
if(is_file($siteFile)) {
   include($siteFile);
}
?>

Also erst mal dankefür den Tip.
Früher war das mal so, aber ich find das eigentlich so besser...normaler weise kommt dann ein error 404 wenn es dieSeite nicht gibt... in der index.php steht direkt ganz oben session() und nen includebefehl die am Anfang der Seite stehen müssen und deshalb beim includieren probleme machen...

Für andere CMS wäre das so wie oben eigentlich besser...

Aber danke für den Tipp

nikosch · 05.01.2009, 18:36

Dieser "Tipp" ist ein Sicherheitsleck. Faktisch kann man damit - entsprechende Serverkonfiguration vorausgesetzt - beliebige Dateien includen. Das ist kein Feature, sondern ein Angriffsvektor. Das solltest Du berücksichtigen.

GelaMu · 05.01.2009, 18:40

Zitat:

Zitat von djscaleo

Nur weil ich anderen die möglichkeit geben will, ein cms proggen zu können?

Ich kann das ja gerne auch hier in nen ganz normales Thread schreiben...
Ich beschreib ja nur die Grundlagen...

Bei Wiki siehts aber besser aus...

Oder ich biete direkt das SkyCMS zum Download an...

Nikoschs Wink mit dem Zaunspfahl

?????????

Außerdem war ja auch nicht nur CMS zur rede sondern auch anders ... ua ein Shop, und der Funktioniert mittlerweile kommplett... ich arbeite nur noch daran, das jeder User Produkte reinstellen kann und die Rechnungen dafür gesplitet werden...

Also, mit sowas "gefährlichem" wie ein Shop solltest du dir wirklich viel Zeit lassen. Da spielst du immerhin mit den Daten anderer Menschen, und die sollten immer seeehr gut geschützt sein, und um diesen Schutz mehr oder weniger zu garantieren, musst du viel Erfahrung in PHP haben. Nicht böse gemeint

djscaleo · 05.01.2009, 18:48

Schonmal was von Blowfish gehört??? Nur wenn man den code hat, kann man entschlüsseln, und da kann man dann auch für jede Variable nen eigenen Code nehmen und doppelt und dreifach verschlüsseln...

GelaMu · 05.01.2009, 18:49

Zitat:

Zitat von djscaleo

Also erst mal dankefür den Tip.
Früher war das mal so, aber ich find das eigentlich so besser...normaler weise kommt dann ein error 404 wenn es dieSeite nicht gibt... in der index.php steht direkt ganz oben session() und nen includebefehl die am Anfang der Seite stehen müssen und deshalb beim includieren probleme machen...

Für andere CMS wäre das so wie oben eigentlich besser...

Aber danke für den Tipp

Keine Ursache.
Grundsätzlich solltest du daran denken, dass alles, was von außen kommt, böse ist, und so wenig wie möglich über das System/CMS preis geben. Wie gesagt, mach dir doch mal die Mühe und erweitere es so, dass nur der Name des Moduls übergeben wird, und das dieser gefiltert wird. Und diese Meldung über 404 scheint mir auch falsch. Stattdessen wäre die Meldung, dass das Modul nicht existiert, meiner Meinung nach richtiger.

P.S. Ich sehe gerade, dass das alles nicht in dein Thema passt. Ich werd mal aufhören mit dem Offtop. Sorry an dieser Stelle ^)

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

05.01.2009, 18:18
litterauspirna Erfahrener Benutzer Registriert seit: 24.04.2008 Beiträge: 3.072 PHP-Kenntnisse: Anfänger	Na da kannst mal schauen,aber sagen wir mal so es hatte was positives,ich habe viel neues dazu gelernt,jedoch bin ich noch lange nicht am Ende. Nikoschs Wink mit dem Zaunspfahl __________________ Aus dem Dynamo Lande kommen wir. Trinken immer reichlich kühles Bier. Und dann sind wir alle voll, die Stimmung ist so toll. Aus dem Dynamo Lande kommen wir. http://www.lit-web.de


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

05.01.2009, 18:20
djscaleo Erfahrener Benutzer Registriert seit: 19.10.2008 Beiträge: 384 PHP-Kenntnisse: Fortgeschritten	Nur weil ich anderen die möglichkeit geben will, ein cms proggen zu können? Ich kann das ja gerne auch hier in nen ganz normales Thread schreiben... Ich beschreib ja nur die Grundlagen... Bei Wiki siehts aber besser aus... Oder ich biete direkt das SkyCMS zum Download an... Nikoschs Wink mit dem Zaunspfahl ????????? Außerdem war ja auch nicht nur CMS zur rede sondern auch anders ... ua ein Shop, und der Funktioniert mittlerweile kommplett... ich arbeite nur noch daran, das jeder User Produkte reinstellen kann und die Rechnungen dafür gesplitet werden... Geändert von djscaleo (05.01.2009 um 18:23 Uhr).

05.01.2009, 18:32
nikosch moderatives Dielektrikum Registriert seit: 21.05.2008 Beiträge: 34.248 PHP-Kenntnisse: Fortgeschritten	Autsch. __________________ -- One pixel is still too big. Please make it smaller. ASAP. Initiative Mittelstand. Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers. --

05.01.2009, 18:36
nikosch moderatives Dielektrikum Registriert seit: 21.05.2008 Beiträge: 34.248 PHP-Kenntnisse: Fortgeschritten	Dieser "Tipp" ist ein Sicherheitsleck. Faktisch kann man damit - entsprechende Serverkonfiguration vorausgesetzt - beliebige Dateien includen. Das ist kein Feature, sondern ein Angriffsvektor. Das solltest Du berücksichtigen. __________________ -- One pixel is still too big. Please make it smaller. ASAP. Initiative Mittelstand. Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers. --

05.01.2009, 18:48
djscaleo Erfahrener Benutzer Registriert seit: 19.10.2008 Beiträge: 384 PHP-Kenntnisse: Fortgeschritten	Schonmal was von Blowfish gehört??? Nur wenn man den code hat, kann man entschlüsseln, und da kann man dann auch für jede Variable nen eigenen Code nehmen und doppelt und dreifach verschlüsseln...