[eside-ghost] Problemas con una web en PHP (y yo no saber)

[flmn]

Para el tema de las injecciones javascript prueba con lo siguiente:

    var $never_allowed_str = array(
                                    'document.cookie'    => '[removed]',
                                    'document.write'    => '[removed]',
                                    '.parentNode'        => '[removed]',
                                    '.innerHTML'        => '[removed]',
                                    'window.location'    => '[removed]',
                                    '-moz-binding'        => '[removed]',
                                    '<!--'                => '&lt;!--',
                                    '-->'                => '--&gt;',
                                    '<![CDATA['            => '&lt;![CDATA['
                                    );


    var $never_allowed_regex = array(
                                        "javascript\s*:"    => '[removed]',
                                        "expression\s*\("    => '[removed]',
                                        "Redirect\s+302"    => '[removed]'
                                    );

        foreach ($this->never_allowed_str as $key => $val)
        {
            $str = str_replace($key, $val, $str);
        }

        foreach ($this->never_allowed_regex as $key => $val)
        {
            $str = preg_replace("#".$key."#i", $val, $str);
        }


El 10 de agosto de 2008 17:30, Javier Ortega Conde (Malkavian) <
malkavian666 en gmail.com> escribió:

> Aupa:
>
> Solicito ayuda a los gurús de PHP, para solucionarme algo que seguramente
> es trivial, pero como no tengo ni idea de PHP no se que pasa...
>
> La página web en cuestión es http://odolostebowl.com y adjunto los dos
> archivos php que contendrán los errores que me causan los dos problemas
> que tengo.
>
> El primer problema es que en la portada ( index.php ) , en el listado de
> participantes inscritos si bien en el total se muestra bien el nº de
> gente apuntada, en el nº de inscritos por raza (que está junto a cada
> logo y nombre de raza) sale multiplicado por 3. Por tanto por alguna
> causa, cuenta a cada inscrito 3 veces.
>
> El segundo problema es que en Inscritos ( inscritos.php ) se puede escapar
> el código e insertar javascript (como un script-kiddie se ha molestado
> durante 5 horas en probar y demostrarme ¬¬ ) a través del formulario de
> inscripción. De momento la solución cutre que he hecho es poner un <pre>
> antes y un </pre> después de los campos que podrían afectar, para que así
> sean interpretados como texto y no se interprete el html, pero supongo
> que hay alguna solución más elegante.
>
> Gracias por leerme, y apuesto a que por solucionarme estos problemillas :)
>
> --
>        Agur: Javier Ortega Conde (Malkavian)
> ------------------------------------------------------------------------
> La página de Malkavian: De todo un poco http://malkavian.homelinux.org
> Miembro del Grupo de LinUxuarios de Bizkaia (GLUB)     http://glub.biz
> Miembro de Eghost, Itsas, Ether, GULA, GLUGI, Guardianes del Túmulo...
> ------------------------------------------------------------------------
> Ley de la Caída Libre: 1) Cualquier esfuerzo por agarrar un objeto en
> caída libre, provocará más destrucción de la que si dejásemos al objeto
> caer naturalmente. 2) La probabilidad que tiene un pan de caer con el
> lado de la mantequilla hacia abajo, es proporcional al valor de la
> alfombra. 3) El gato siempre cae de pié. 4) No ayuda atar el pan con
> mantequilla al lomo del gato y tirarlo a la alfombra. El gato comerá el
> pan antes de caer...De pié.
>
> _______________________________________________
> eside-ghost mailing list
> eside-ghost en deusto.es
> https://listas.deusto.es/mailman/listinfo/eside-ghost
>



-- 
Para quien seca sus lágrimas sin darse por vencido y a pesar de la fatiga
sigue su camino. Para quien lucha, para quien sigue vivo, buscando un
sentido. Los mayores héroes son desconocidos...
------------ próxima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: https://listas.deusto.es/mailman/private/eside-ghost/attachments/20080810/8a8074de/attachment.htm