Navigacija

Namai Forumas PAIEŠKA ! ! Pagrindinės temos ! Nuorodų katalogas Didž. Php-F saitai Kontaktai
NAUDINGA
Straipsniai DUK Siuntimai Skriptų biblioteka Modai, dizainai Modai šiame saite D.U.K. Informacija Hostingai Domenai
Naudotojo vadovas v7 V6 ir V7 galimybių palyginimas DEMO
NUORODOS
Modifikacijos, panelės Temos/dizainai
PASLAUGOS
Reklama VIP hostingas
Pask. komentarai Administracija

Vartotojų tinkle

Prisijungusių svečių: 359
Prisijungusių narių: 0
Prisijungusių narių nėra

Registruoti nariai: 25,962
Naujausias narys: Wisedocs

Naujausi straipsniai

Įprasti:

Skirti naujokams:

Paskutiniai nariai

Wisedocs 2 savaitės
asdasdddz 2 savaitės
Paslapties K... 3 savaitės
Audrius_17 6 savaitės
Reikalas10 savaitės
Simbijanas18 savaitės
Karinacraft19 savaitės
Žmogus22 savaitės
Bruksnys26 savaitės
Darexs29 savaitės
Nepas29 savaitės
keistuole31 savaitės
Gizmis33 savaitės
Rytis42 savaitės
MaFetas46 savaitės
ozzWANTED48 savaitės
saulyzas50 savaitės
TOMIJUS51 savaitės
Jaunelis66 savaitės
lanis67 savaitės

Informacija:


OS: Unknown
Naršyklė: Nežinoma
IP: 216.73.216.132
Naujienų: 529
Straipsnių: 235
Temų: 52,589
Postų: 522,549
Postų pask. parą: 0
Shout'ų pask. parą: 0
P.S.C. pask. parą: 0
Nuorodų kataloge: 13

Lankomumo Statistika

Peržiūrų šiandien: 22

Iš viso peržiūrų: 22948724

Prisijungti

REGISTRUOTIS
Nario vardas

Slaptažodis



Pamiršai slaptažodį?
Paprašyk naujo
Aktyvuoti save

Šaukykla

Jei norite rašyti žinutes, turite prisijungti.

Žmogus
2025 Geg. 31 10:05:18
Kas geresnio? šypsosi

Nepas
2025 Bal. 9 17:04:13
drovus

Nepas
2025 Bal. 9 17:04:08
drovus

Gizmis
2025 Kov. 15 14:03:50
OMG, smagu matyt sita puslapi veikianti

ozzWANTED
2024 Lap. 30 15:11:14
Taip, vis dar up šypsosi

Šaukyklos archyvas

Apklausa

Ar esate patenkinti lietuviško vertimo kokybe?

Taip!

Taip, bet yra ką taisyti (parašysiu komentaruose)

Ne

Norėdamas balsuoti turite prisijungti.
Archyvas
Reklama 400x60
Pridėtinių puslapių bugas
Parašė SofteriZ 2012 sausio 11 15:01:09
Bugai ir klaidosSveiki,

neseniai pastebėjau, kad visos PHP-Fusion versijos turi bugą, per kurį galima įsibrauti į mysql ir visą ją pašalinti ar nusikopijuoti.
Taigi kaip šią klaidą ištaisyti?

Atsidarome /administration/custom_pages.php
Susirandame if (isset($_POST['save'])) {
po $page_content = addslash($_POST['page_content']);
įterpiame:

if (preg_match("/config.php|$db_host|$db_pass|$db_name|$db_prefix/", $page_content)) { header('Location: '.$settings['siteurl'].''); }

po to, susirandame if (isset($_POST['preview'])) {
po $page_content = stripslash($_POST['page_content']);
įterpiame:

if (preg_match("/config.php|$db_host|$db_pass|$db_name|$db_prefix/", $page_content)) { header('Location: '.$settings['siteurl'].''); }

Štai ir viskas, jūsų PHP-Fusion tinklapis tapo truputėlį saugesniu.


29 Komentarai · 2850 Skaityta · Spausdinti
Dalintis Facebook Dalintis Twitter Dalintis Google+
Komentarai
avice 2012 sausio 11 15:01:17
Joks cia bugas ;D
Visvien mysql prisijungima bus galima istraukt:

echo "$db_host."<br>".
$db_user."<br>".
$db_pass."<br>".
$db_name;



ir tai galima padaryt su panelem/pridetiniais puslapiais.
----------------------------------
Redagavo avice 2012 Sau. 11 15:01:42
SofteriZ 2012 sausio 11 16:01:19
Pakoreguota, dabar jau tikrai neturėtų leisti išgauti mysql duomenų.
avice 2012 sausio 11 16:01:17
Per paneliu kurima vis dar galima ;D
SofteriZ 2012 sausio 11 16:01:26
Dėl panelių, galvoju kada nors parašyt straipsniuką, kaip PHP-Fusion sistemą padaryti bent 40% saugesne.
avice 2012 sausio 11 16:01:35
o ka manai apie tai:

<?php
highlight_file(BASEDIR.base64_decode("Y29uZmlnLnBocA=="));
?>




pamegink pridet i pridetinius puslapius :]
SofteriZ 2012 sausio 11 16:01:56
news.php meta, kaip ir turi būti.
avice 2012 sausio 11 16:01:39
Tai kodel manes nemeta? isidejau tuos tavo kodus po save ir prewiev $page_content = addslash($_POST['page_content']);
iGolf 2012 sausio 11 16:01:33
Prašau parodyti, bugą koks jis šypsosi
Maksas 2012 sausio 11 17:01:26
Na tikrai tvarkingai dirba,bandžiau pridėti į pridėtinius visokius kodus,iš kart permeta į pagrindinį.
avice 2012 sausio 11 17:01:13
Kaip jums veikia ? Kad ir kaip bandyciau vis gaunu duomenys ;D
Kelintai cia versijai?
Maksas 2012 sausio 11 17:01:51
Išbandžiau v7.02.04 ir Pimped-Fusion,tikrai dirba.
MaFetas 2012 sausio 11 19:01:23
Išvis kam naudot ta custom_pages, ištrini ir rami galvamerkia akį
SofteriZ 2012 sausio 11 19:01:50
Na daugeliui ta funkcija reikalinga, tad bandau ją kaip nors fix'int.
MaFetas 2012 sausio 11 19:01:35
Na taip viskas ok mldc kad daliniesi, taisai kažką.
Aš aplamai norėjau apie ta custom_pages pasakyti kad jis nereikalingas, jau geriau pačiam imt pasirašyt puslapį (su mysql ar be) ir bus rami galva šypsosi žinai bent ką esi ir kaip pasidaręs
iGolf 2012 sausio 11 20:01:45
MaFetas - tikrai tiesą sakai imi ir pasirašai, ir rami galva, bet pagalvok, apie tuos kurie nepaima ir nepasirašo, tai čia tokių pilna, kai kurie net ir nesupranta, kaip pakeisti ar dapildyti kodą, tarkim imant šitą koduką, nenustebčiau, kad koks naujokas užklaustu, neišeina padaryti, tai žinai, dėl tokių ir stengiamės padėti ir pan, Softeriz labai gerai, kad pasidalino už tai jam ir dėkoju aš šypsosi
MaFetas 2012 sausio 11 21:01:16
Čia gaunasi kad aš kažką blogo noriu pasakyt jog jis tokią naujieną pateikė akinanti šypsen akinanti šypsen aišku kad šaunuolis, jog padeda.

Aš tiesiog apie tą failą norėjau pasakyt kad jis nereikalingas šypsosi kaip penkta koją šuniui akinanti šypsen akinanti šypsen
manopassozziukas 2012 sausio 11 23:01:51
"neseniai pastebėjau" nejaugi jau tikrai neseniai ar neseniai pripazinai tai? realiai tai ji gi visiskai nesiskiria nuo tavo daryto kintamuju ir failo pervadinimu tas pats sudas tik kitoj dezutej
Kižas 2012 sausio 11 23:01:28
Kam tiek daug vargo ??? Tereikia persivadinti config.php failą į pvz.: 78ry7RjO7.php ir viskas.
SofteriZ 2012 sausio 12 13:01:37
Kižas, tada išgauni maincore.php failą, pasižiūri kaip pavadintas config failas ir išgauni jį. Problem? (trollface)
avice 2012 sausio 12 16:01:02
Nesuprantu tai kaip su tavo apsaugom jums nepraleidzia tokio kodo:
<?php
highlight_file(BASEDIR.base64_decode("Y29uZmlnLnBocA=="));
?>




Jog tikrina tik kaip paprasta teksta ir jame nera tokiu zodziu kuriuos surastu ;D
SFblogis 2012 sausio 12 17:01:08
SF, arba manuala paskaityt: http://php.net/manual/en/functio...
SFblogis 2012 sausio 12 17:01:22
Kižas, tada išgauni maincore.php failą, pasižiūri kaip pavadintas config failas ir išgauni jį. Problem? (trollface)
juokiasi puodas, kad katilas juodas juokiasi
nbanba 2012 sausio 19 16:01:55
Na čia jau daugybę metų žinomas dalykas, tačiau apsisaugoti nuo to reikėtų ne tik pridėtiniuose puslapiuose, bet ir panelėse. Taip pat yra daugybė kitų būdų kaip per pridėtinius įsibrauti. Iš vis nelabai kam reikalingi tie $db_pass uždraudimai, nes kas norės tas laisvai pasitalpins savo shell'ą per pridėtinius ar pnš., o ne vargs su tokiais dalykais.
----------------------------------
Redagavo nbanba 2012 Sau. 19 16:01:45
And2s 2012 sausio 20 21:01:14
Šitas "fixas" nei kiek neapsaugos. Galima kuri nori kintamąjį išsitraukti(dbhost,dbpass ir pan.). Pvz.:
encode_base64(db_pass) = ZGJfcGFzcw==

Į pridėtinius rašome: <?php echo ${base64_decode('ZGJfcGFzcw==')}; ?>

nežino
Rašyti komentarą
Prisijunkite, norėdami parašyti komentarą.
Reitingai
Balsuoti gali tik nariai.

Prašome prisijungti arba prisiregistruoti.
Nuostabu! Nuostabu! 100% [4 Balsų]
Labai gerai Labai gerai 0% [Nėra balsų]
Gerai Gerai 0% [Nėra balsų]
Patenkinamai Patenkinamai 0% [Nėra balsų]
Blogai Blogai 0% [Nėra balsų]