热搜:6KBBS6kbbs V8.0 官方论坛
当前位置: 6kbbs V8.0 官方论坛 » 使用问题 » 我昏!系统里的防注入函数strFilter,居然是空输出
帖子状态  
本帖子共有 3001 位阅读者, 5 个回复.
  • 回复
6条记录

liujam

小学生
帖子
12 
金钱
23 
魅力
23 
威望
23 
注册
2011-04-22 
liujam 发表于 2011-04-29 14:53   
我昏!系统里的防注入函数strFilter,居然是空输出
RT,很喜欢6kbbs,入手后已经改得差不多了,主要是增加了发贴时的主题分类功能,增加了论坛功勋章功能等。

不过刚才发现整站通用的防SQL注入过滤函数strFilter居然空输出,根本没有处理嘛!

文件:
/inc/fun.php

详见文件第18行:
//过滤非法字符
function strFilter($str){
//TODO: 过滤非法字符
return $str;
}

liujam

小学生
帖子
12 
金钱
23 
魅力
23 
威望
23 
注册
2011-04-22 
liujam 发表于 2011-04-29 20:40   
RE:我昏!系统里的防注入函数strFilter,居然是空输出
老大不在吗?

我还想补充一个问题,论坛贴子数据,为什么是两张表:bbs_topics,bbs_posts
它们之前是什么关系?bbs_topics里的数据删除后,前台不可见; bbs_posts中后台是可见的;
另,bbs_posts中的数据明显多于bbs_topics

我想知道这两张表如何协同工作的,谢谢啦!?

dos_cc

超级版主
帖子
280 
金钱
391 
魅力
392 
威望
391 
头衔
DOS.CC 
注册
2010-10-23 
dos_cc 发表于 2011-04-29 21:18   
RE:我昏!系统里的防注入函数strFilter,居然是空输出
改好了记得发给我一份啊!
dos_cc@163.com

大师兄这两天出去办事了,五一过后回来,具体等他回来再说吧!
该帖子于 2011-04-29 21:29 编辑过

zym

管理员
帖子
1104 
金钱
8002 
魅力
1083 
威望
1083 
头衔
Founder 
注册
2004-07-12 
zym 发表于 2011-05-01 09:47   
RE:我昏!系统里的防注入函数strFilter,居然是空输出
防SQL注入过滤函数已经不是用strFilter了,呵呵。

inc/init.php这段才是防SQL注入:
if (!get_magic_quotes_gpc()){if(!empty($_GET)){$_GET  = addslashes_deep($_GET);}    if (!empty($_POST)){$_POST = addslashes_deep($_POST);}    $_COOKIE   = addslashes_deep($_COOKIE);        $_REQUEST  = addslashes_deep($_REQUEST);}
unregister_globals('_POST', '_GET', '_COOKIE', '_REQUEST', '_SERVER', '_ENV', '_FILES');



strFilter是留着备用,可能某些网站想定义自己的规则,过滤所有输入。
官网虚拟主机购买:QQ 70767766

zym

管理员
帖子
1104 
金钱
8002 
魅力
1083 
威望
1083 
头衔
Founder 
注册
2004-07-12 
zym 发表于 2011-05-01 09:50   
RE:我昏!系统里的防注入函数strFilter,居然是空输出
两张表:bbs_topics,bbs_posts
bbs_topics是用来存放帖子的标题以及基本信息,没有存放具体的帖子内容。
bbs_posts就用来存放具体的内容,以及回帖的信息。

分开的好处是,topics是经常被板块读取到的,显示帖子列表,尽量存放少点数据。
这样子会加快论坛的速度。
官网虚拟主机购买:QQ 70767766

瑶哥

初中生
帖子
23 
金钱
85 
魅力
33 
威望
33 
注册
2006-12-02 
瑶哥 发表于 2011-05-11 11:53   
RE:我昏!系统里的防注入函数strFilter,居然是空输出
原来是这样子
瑶哥的博客
http://yaoge.me/
  • 回复
6条记录