Vypis z MySQL a spracovanie php scriptu v tabulke

stenley · Napísal **stenley**: 06.10.2009 10:07

mozes pouzit aj iny sposob, napr. si pridas do clanku (alebo kde to chces vkladat) nejaky unikatny kod, trebars {BANNER} a po selecte len nahradis tento kod vystupom php scriptu (funkcie), ktory bude robit to, co potrebujes...

eMPiko · Napísal **eMPiko**: 07.10.2009 12:23

Preco nemat PHP v databaze? Zeby kvoli zvysenemu riziku? Predsa len je tazsie dostat sa niekomu na slabo zabezpeceny Apache ako na slabo zabezpecenu MySQL databazu. Nie je to tak davno co nasli v MySQL fatalnu chybu a verim tomu ze na mnozstve serverov este stale maju tuto verziu. Staci sa pripojit a mozes robit na stranke ci dokonca serveri (podla prav) prakticky cokolvek. Pripadne by stacilo jeden zle osetreny input...

stenley · Napísal **stenley**: 07.10.2009 13:28

pozri sa, ak je skript deravy, je jedno ci je ulozeny v subore alebo v db - je zneuzitelny rovnako... neviem, ako vam to mam este vysvetlit...

eMPiko · Napísal **eMPiko**: 07.10.2009 13:35

Nehovorim o scripte, ktory si tam prida spravca, ale o scripte ktory si tam moze pridat utocnik.

stenley · Napísal **stenley**: 07.10.2009 13:41

ale to by museli najskor vsetci osetrovat data prijate z db, co drviva vacsina nerobi... tak isto ti tam moze pridat skodlivy js ci iny kod - chces tym teda povedat, ze js tiez nepatri do db?

eMPiko · Napísal **eMPiko**: 07.10.2009 17:01

javascript sa vykonava u klienta nie na serveri.

stenley · Napísal **stenley**: 07.10.2009 17:16

evidentne si nepochopil - ked sa ti utocnik dostane do db, ma niekolko moznosti utoku na tvoju stranku - ci tam vlozi php kod, skodlivy js kod alebo zmeni/vymaze data, vzdy niekomu uskodi - bud majitelovi stranky alebo navstevnikom. V pripade js som konkretne myslel kod, ktory ti, ako navstevnikovi, infikuje tvoj stroj... preto sa ta pytam, ci teda podla teba nemoze byt v db ulozeny js kod, kedze je to z tohto pohladu bezpecnostne riziko (podobne, ako si uviedol pri php)?

btw existuje aj server-side js, ale to nie je teraz dolezite...

eMPiko · Napísal **eMPiko**: 07.10.2009 17:28

Samozrejme aj JS moze byt skodlivy, ale v porovnani s PHP-ckom sa mi to zda ako slaby cajicek. Javascript ohrozuje len tych, ktori priamo navstivia ohrozenu stranku, pricom mnozstvo ludi uz ma JS aspon ciastocne blokovany. Pri PHP staci ten script spustit raz a cela stranka v cudu. To je neporovnatelne vacsie riziko, aj ked je to cisto subjektivny pohlad na vec.

stenley · Napísal **stenley**: 07.10.2009 17:43

php kod neohrozuje tiez len tych, ktori navstivia napadnutu stranku?

ak sa ti nieco zda, este neznamena, ze to je aj pravda... ake mnozstvo ludi ma ciastocne blokovane js? mozno tak blokovanie pop-up, ale to je asi tak vsetko - ziadna prevencia...

nie je nahodou cielom utocnikov, v drvivej vacsine, infikovat co najviac strojov? co by mali z toho, ze napr. vymazu celu stranku? mozno jednorazovy dobry pocit, viac nic... asi uvazujes len ako majitel webu, na navstevnikov vobec nemyslis, a to je problem...

JanoF · Napísal autor témy **JanoF**: 21.03.2010 1:22

Ďuri píše:

Tak hod sem, co mas a opravime chyby

malo by to byt nieco v tomto zmysle:

Kód:

<?php
$conn = ... //spojis sa s DB, tuto cast vynechavam
$sql = "SELECT nazov_pola FROM tabulka";
$res = mysql_query($sql, $conn);
while ($record = mysql_fetch_array($res))
{
   eval('?>'.$record['nazov_pola']);
}

Nemam to otestovane.

Duri thx, som sa k tomu opet vratil a funguje to pekne

Vypis z MySQL a spracovanie php scriptu v tabulke

Podobné témy