SQL -PHP שגיאה

[dovid]

נכון, זה עוד פירצת אבטחה נפוצה בPHP, ששמים קלט משתמש שהגיע למסד ישר בתוך הדף ללא טיהור.
אבל אני לא רואה אפשרות להזריק קוד PHP, אבל קוד HTML יש, וטוב שאתה מנקה.

[clickone]

שימו לב שאפשר להזריק קוד JS, וגרוע מכך JS מקודד

[dovid]

@clickone כן אבל זה בכלל HTML כי לסקריפט חייבים תגית.
אא"כ בטעות הוא עושה echo בתוך תגית אבל זה כבר שלומאליות.

[ש.ב.ח.]

@dovid אמר בSQL -PHP שגיאה:

אבל אני לא רואה אפשרות להזריק קוד PHP

גם קוד php הוא בתוך תגית...
אם אני אחזיר מהdb מידה שתוכנו הוא קוד php עם תגיות php הקוד יופעל,
מה שאין כן כרגע לאחר הניתוח של הסטרינג התגיות מוחלפות בקוד & lt; או & gt; ...
(ד.א. שמתי לב עכשיו שהפונקציה הזאת מטפלת גם בגרש בודד.)

[dovid]

@ש-ב-ח אמר בSQL -PHP שגיאה:

אם אני אחזיר מהdb מידה שתוכנו הוא קוד php עם תגיות php הקוד יופעל,

זהו שאני אומר שלא. הוא יוצג במסמך.

[ש.ב.ח.]

@dovid אמר בSQL -PHP שגיאה:

זהו שאני אומר שלא. הוא יוצג במסמך.

גם עם הוא יעלה עם המסמך הוא לא יופעל?
לא בדקתי... אתה יודע בוודאות שהוא רק יוצג ולא יופעל?

[dovid]

@ש-ב-ח איך הוא "יעלה" עם המסמך? אתה לא מתכוון לשמור קבצי PHP על הדיסק נכון?

[ש.ב.ח.]

@dovid אמר בSQL -PHP שגיאה:

@ש-ב-ח איך הוא "יעלה" עם המסמך? אתה לא מתכוון לשמור קבצי PHP על הדיסק נכון?

לא ירדתי לסוף הבנת השאלה.

[dovid]

@ש-ב-ח אל תבין, רק תענה היכי דמי שהוא "יעלה" עם המסמך.
הרי אם אתה כותב

 echo '<php php_info();'

זה יוצג, לא כן?

[ש.ב.ח.]

@dovid

לא חשבתי על זה