Помогите с самописным PHP
Страницы: Пред. 1 2
Помогите с самописным PHP
вот какой код получился
Цитата
<?php
if(!$txt)
{
echo "Хакер чтоли?";
}else{
$f = fopen("" . $txt . "", "r");
$arrM = explode(",",fgets($f));
if ($arrM[1] == 1){
echo "<iframe src=\"" . $arrM[2] . "\" width=\"610\" height=\"400\" frameborder=\"0\"></iframe>";
fclose($f);
}elseif ($arrM[1] == 2){
echo "<object width=\"610\" height=\"400\"><param name=\"movie\" value=\"" . $arrM[2] . "\"><param name=\"allowScriptAccess\" value=\"always\"><param name=\"wmode\" value=\"transparent\"><param name=\"allowFullScreen\" value=\"true\"><embed src=\"" . $arrM[2] . "\" allowFullScreen=\"true\" wmode=\"transparent\" width=\"610\" height=\"400\" type=\"application/x-shockwave-flash\"></object>";
fclose($f);
}elseif ($arrM[1] == 3){
echo "<iframe src=\"" . $arrM[2] . "\" width=\"610\" height=\"400\" frameborder=\"0\" webkitAllowFullScreen mozallowfullscreen allowfullscreen scrolling=\"no\"></iframe>";
fclose($f);
}elseif ($arrM[1] == 4){
echo "<iframe title=\"Kiwi player\" width=\"610\" height=\"400\" src=\"" . $arrM[2] . "\" frameborder=\"0\" allowfullscreen></iframe>";
fclose($f);
}else{
echo "<iframe width=\"610\" height=\"400\" src=\"" . $arrM[2] . "\" frameborder=\"0\" allowfullscreen></iframe>";
fclose($f);
}
}
?>
А код вызова какой, и что в результате вызова выводится
При прямом обращении пишет "Хакер чтоли", но через инклуд показывает HTML, но при этом не видит название текстового файла в строчке 

Код
$f = fopen("" . $txt . "", "r");
 
Изменено: Юрий Кузнецов - 30 Января 2013 21:52
Укажи полный путь до файла или в вызове или тут

Код
$f = fopen("" . $_SERVER['DOCUMENT_ROOT'] . '/' . $txt . "", "r"); если файл в корне
Урраааа заработало, огромное спасибо!
А что там насчет безопастности, может быть посоветуеш?
Неа smile:)  
            ///
Блин, ну понять не могу как через этот скрипт взломать сайт можно, максимум недостаточная фильтрация, смогут узнать полный путь к сайту, но кто этим заниматься будет, скрипт не стандартный, самописный, а через инклуд путь к этому php все равно не видно. Я просто понять не могу как?
Гугли "php безопасность include"
Вдоволь нагуглился, в данном варианте не один из способов взлома не прокатит, та как на обычных ссылках страниц, никаких дополнительных переменных не добавляется, ссылки остаются обычные, пробовать подбирать различные переменные в ссылках бесполезно. мало того, ни кто об этих дополнительных php скриптах не знает, тем более о том, где они находятся, не говоря уже о том, на каком сайте находится этот скрипт и т.д. (сами понимаете сколько сайтов данной тематики в итернете)
Так что найти, а темболее сломать через этот скрипт, практически не по зубам даже самым крутым хакерам, да и кому он нафиг нужен мой делитанский сайт, ломают специально, только очень крутые проекты. Я конечно добавлю еще кое какую фильтрацию, но честно говоря, это будет лишним.
Да я и не говорил конкретно про этот скрипт, а про dle и вот таких php писарей smile:D
Чем не нравится писарь, как бы там ни было, сам сделал то что хотел, а не брал в инете не понятно с каких источников, и с какими дырами. Знание PHP также как и Html с Css приходит с практикой, вам бы это не знать. Если в Html и Css я уже с клавы не глядя верстаю, то в PHP только начинаю, вроде получаться начинает, со временем научусь.
Страницы: Пред. 1 2
Похожие темы:
Читают тему (гостей: 1, пользователей: 0, из них скрытых: 0)
Новые темыОбъявленияСвободное общение
12:44 РСЯ и тормоза сайта: Яндекс начал штрафовать за плохой PageSpeed? 
12:42 01.02. Апдейт 31.01 // Chrome готовит "чёрную метку" для ИИ? 
23:09 Как безопасно купить Гугл почту? 
13:45 Какой движок выбрать для форума? 
13:43 Нашел скрины выплат с Сапы за 2010 год. Пошел плакать 
09:26 Трафик пробил дно? Худший январь за 10 лет и внезапный рост продаж с Bing 
19:27 Плагин ответа 
12:36 Nexulume.com Обменник без AML и KYC 
09:12 Swapwatch.org — Мониторинг криптовалютных обменников 
09:07 Просто $0.04/IP 9PROXY.COM Резидентные прокси Неограниченная пропускная способность Уникальная политика замены Без чёрного списка 
23:25 SOCKS5 приватные прокси на 30 дней для PayPal 
23:24 Google Voice аккаунты для бесплатных SMS и звонков 
23:23 PayPal аккаунты для любых целей 
23:02 BestX24 - быстрый и безопасный обменник криптовалют и электронных денежных средств 
12:41 Moltbook: Соцсеть для ботов, где людям закрыли рот. Началось? 
06:26 Ставки на супер тренды в спорте 
22:31 [AI] Бот за $600к советовал есть сыр с крысами. Нью-Йорк его (наконец-то) снес 
22:30 Точные прогнозы на футбол 
13:38 Осталось 3-5 месяцев до блокировки YouTube в России, — заявил Клименко 
07:11 Список обновленных тем пуст... 
17:02 Gartner обещал смерть SEO к 2026 году. Открываем метрику и проверяем