[GDRCD Extreme] Problema aggiornamento schede e forum

Pagine → 1 2

dyrr

08/03/2016 03:09:56

Se non avete toccato la "struttura" del gdrcd 3.x/extreme, per tutte le pagine che utilizzano una connessione al database, quindi per tutte quelle che il fatto che il magic_quotes_gpc() disabilitato non fa più in automatico l'escape degli input con conseguenza di aprire una miriade di falle per sql_injection in quel codice, il gdrcd include il file inc/open2.php dove viene instanziata la connessione al database. Un possibile fix veloce temporaneo può essere agire li lavorare gli array $_GET, $_POST, $_SESSION per far si che venga fatto l'escape in automatico dei caratteri.

N.B.: il suggerimento vuole essere un veloce TEMPORANEO fix per chiudere tutte le possibili falle di sicurezza in un colpo solo.

Il metodo più veloce che mi viene in mente per farlo è usare la funzione array_map() http://php.net/manual/en/function.array-map.php di php per i tre array citati in una maniera simile a questa:

<?php
function filter_in($str)
{
return addslashes(str_replace('\\','',$str));

}
//ho creto apposta un array $_GET fasullo per mostrare come funziona la funziona array_map();
$_GET = array(
'test1' => "nell'anima",
'test2' => 'Pippo "Super" User'
);

$_GET = array_map('filter_in',$_GET);
print_r($_GET);

?>

il cui output dovrebbe dare:

Array
(
[test1] => nell\'anima
[test2] => Pippo \"Super\" User
)

Una versione dell'esempio che non risente della sostitusione degli apici che fa il forum di gdr-online è presente qui:
https://gist.github.com/Dyrr/0b4240298dfa4194639e https://gist.github.com/Dyrr/0b4240298dfa4194639e

Una volta applicato un fix simile a questo (ci sono altre soluzioni per passare tutti gli array per un escape) sarebbe il caso di provvedere ad una sistemazione migliore del problema agendo sulle singole query con le funzioni apposite per l'escape dei caratteri per il database;

DarkOrbit ↗
Galassie remote e pericoli in agguato ti attendono. Vinci battaglie avvincenti in DarkOrbit: diventa un cosmonauta temerario e combatti!

quota

leoblacksoul

SCRIVI

08/03/2016 17:00:45

Forse è meglio evitare di maneggiare $_SESSION, tanto non sono dati che vanno a vengono dal client e rischi di corrompere i dati facendo l'escape a ogni richiesta.

Dovreste modificare solo $_GET, $_POST e $_COOKIE che sono i dati che vengono trasmessi dal client ogni volta.

---
Non chiedetemi aiuto in privato per questioni di programmazione; chiedete sul forum e eventualmente vi risponderò lì.
http://gdrportal.eu - Hosting per GDR

quota

miagy

SCRIVI

08/03/2016 19:54:22 e modificato da miagy il 08/03/2016 19:55:38

deatheaters ha scritto:
Per quanto riguarda la scheda e ogni altra pagina dove andate a modificare i campi della scheda del personaggio, dovete fare la seguente modifica:

$descrizione =str_replace("'", "# & 3 9 ;", $descrizione);

"Descrizione" è come si chiama il campo dell'utente dove può inserire i dati, così nel mio DB. Dovete modificare ovviamente se avete chiamato quel campo in un modo diverso.

Avrei una domanda su questa parte.
Il codice da te postato e che va inserito in scheda.php va inserito prima, dopo o durante l'UPDATE?
Perché non capisco esattamente la posizione di questo str_replace :'(

Per UPDATE intendo:

$MySql = "UPDATE Personaggio";
$MySql .= " SET Pass = '".$pass."',";
$MySql .= " Descrizione = '".$descrizione."',";
$MySql .= " Affetti = '".$affetti."',";
bla bla
$MySql .= " UrlImg = '".$urlimg."'";

$MySql .= " WHERE Nome = '".$pg."'";
$Result = mysql_query($MySql);