不过刚才发现整站通用的防SQL注入过滤函数strFilter居然空输出,根本没有处理嘛!
文件:
/inc/fun.php
详见文件第18行:
//过滤非法字符
function strFilter($str){
//TODO: 过滤非法字符
return $str;
}
帖子状态 |
我昏!系统里的防注入函数strFilter,居然是空输出
RT,很喜欢6kbbs,入手后已经改得差不多了,主要是增加了发贴时的主题分类功能,增加了论坛功勋章功能等。
不过刚才发现整站通用的防SQL注入过滤函数strFilter居然空输出,根本没有处理嘛! 文件: /inc/fun.php 详见文件第18行: //过滤非法字符 |
|
RE:我昏!系统里的防注入函数strFilter,居然是空输出
老大不在吗?
我还想补充一个问题,论坛贴子数据,为什么是两张表:bbs_topics,bbs_posts 它们之前是什么关系?bbs_topics里的数据删除后,前台不可见; bbs_posts中后台是可见的; 另,bbs_posts中的数据明显多于bbs_topics 我想知道这两张表如何协同工作的,谢谢啦!? |
|
RE:我昏!系统里的防注入函数strFilter,居然是空输出
该帖子于 2011-04-29 21:29 编辑过
|
|
RE:我昏!系统里的防注入函数strFilter,居然是空输出
防SQL注入过滤函数已经不是用strFilter了,呵呵。
inc/init.php这段才是防SQL注入: if (!get_magic_quotes_gpc()){if(!empty($_GET)){$_GET = addslashes_deep($_GET);} if (!empty($_POST)){$_POST = addslashes_deep($_POST);} $_COOKIE = addslashes_deep($_COOKIE); $_REQUEST = addslashes_deep($_REQUEST);} unregister_globals('_POST', '_GET', '_COOKIE', '_REQUEST', '_SERVER', '_ENV', '_FILES'); strFilter是留着备用,可能某些网站想定义自己的规则,过滤所有输入。 |
|
官网虚拟主机购买:QQ 70767766 | |
RE:我昏!系统里的防注入函数strFilter,居然是空输出
两张表:bbs_topics,bbs_posts
bbs_topics是用来存放帖子的标题以及基本信息,没有存放具体的帖子内容。 bbs_posts就用来存放具体的内容,以及回帖的信息。 分开的好处是,topics是经常被板块读取到的,显示帖子列表,尽量存放少点数据。 这样子会加快论坛的速度。 |
|
官网虚拟主机购买:QQ 70767766 | |
RE:我昏!系统里的防注入函数strFilter,居然是空输出
原来是这样子
|
|
瑶哥的博客 http://yaoge.me/ | |