Mensajes

Código (php) [Seleccionar] Expandir

<?php

$strArchivo = "archivo.txt";
$strPassword = "contraseña";

$postTexto = $_POST["Texto"];
$postPassword = $_POST["Password"];
$intAction = $_POST['act'];

if ($intAction == 1 and $postPassword==$strPassword) {

if($fp = fopen($strArchivo,"w+")){
fwrite($fp,stripslashes($postTexto));
fclose($fp);
} else {
die("Error de escritura");
}
   
if($fp = fopen($strArchivo,"r")) {
if (filesize ($strArchivo) > 0) {
$strContenido = fread ($fp, filesize ($strArchivo));
}
fclose($fp);
} else {
die("Error de lectura");
}

echo "<b><font color=\"lime\">Archivo modificado</font></b> <br><br>";

} elseif (!empty($intAction)) {
echo "<b><font color=\"red\">Contraseña incorrecta</font></b> <br><br>";
}

echo "<form action=\"".$_SERVER['PHP_SELF']."\" method=\"POST\">
<input type=\"hidden\" name=\"act\" value=\"1\">
Password:<br> <input type=\"password\" name=\"Password\" value=\"$postPassword\"><br><br>
Texto: <br><textarea name=\"Texto\">$strContenido</textarea><br>
<a href=\"javascript:document.forms[0].submit()\">Guardar</a>
<!-- <input type=\"Submit\" value=\"Guardar\"> -->
</form>";

?>

Yo te recomendaría UltraEdit32...

La variable de entrada se puede encontrar en cualquier parte, en una simple dirección URL (GET), en un formulario POST, en el User-Agent, en la referencia, etcétera.

Deberías leer un poco sobre el funcionamiento de PHP y la recogida de datos...

http://www.google.es/search?hl=es&q=robot.txt

¿No se te ha pasado por la cabeza que quizás no sea vulnerable a ataques XSS?

Parece que mi ironía fue difícil de captar...

Lo que realmente quería decir es que os dedicáis a reinventar lo inventado, o lo que es lo mismo, malgastar el tiempo...

Además no existen funciones ya creadas para todas las codificaciones existentes.

htmlentities() soporta ISO-8859-1, ISO-8859-15, UTF-8, cp866, cp1251, cp1252, KOI8-R, BIG5, GB2312, BIG5-HKSCS, Shift_JIS, EUC-JP, que más quieres, ¿braile?

quisas el talón de aquiles no esta en bypassear el filtro de la función sino en "saltarse" la función misma... Puede ser, si existe algún bug relacionado con el núcleo de PHP

Aquí no hay talón de aquiles, tan solo hay que concienciar al programador para que haga su trabajo correctamente, desprendiéndose de estos malos hábitos de crear funciones para corregir nuestros propios errores.

No se como te atreves a decir que el problema de los ataques XSS reside en el interior del núcleo de PHP...

Eso es por que la variable filtra los caracteres especiales, como pueden ser > o <, mostrado como resultado en tu caso &lt;script&gt;alert(5);&lt;/script&gt;.

Examina el código fuente de la página web en busca del código que introdujiste...

Sí, pero así no vamos a avanzar nunca, creando funciones que ya existe y cometiendo los mismos errores una y otra vez... esperad, tengo una idea...

function fncEcho($str) {
echo $str;
}

En fin, una vez más intentáis poner soluciones a vuestros errores, ¿habéis probado a no cometerlos? Yo personalmente tan solo muestro la variable filtrada cuando tengo que imprimirla en la página web, anteriormente uso expresiones regulares para comprobar que la cadena usa caracteres permitidos...

born2kill, cambia tu forma de pensar a no tengo que cometer esos fallos...

Mira que os complicáis la vida creando funciones que lo único que hacen es que el proceso de carga sea más lento, o por lo menos esa es mi opinión personal...

¿Alguien me puede decir por qué no se utiliza en estos casos la función htmlentities()?

htmlentities($_GET['var'], ENT_QUOTES)

Si lo que quieren es evitar RFI, no dejen en manos de una variable el fichero a incluir, utilicen switch para inclusiones dinámicas...

Y quizás lo más importante, no cojan malos hábitos de programación escribiendo los atributos de los campos sin comillas dobles/simples.