attacco hacker su guestbook

[zoc]

ciao ragazzi....
ho visto htmlspecialcars.... ma io mi chiedo perche' quello che ho messo io non funziona:

$message = str_replace ("<", "&lt;", $message);
$message = str_replace (">", "&gt;", $message);

questo e' quello che ho messo in entrata, quindi i tag dovrebbero essere disabilitati in teoria....

[Nix82]

Originariamente inviato da zoc
ciao ragazzi....
ho visto htmlspecialcars.... ma io mi chiedo perche' quello che ho messo io non funziona:

$message = str_replace ("<", "&lt;", $message);
$message = str_replace (">", "&gt;", $message);

questo e' quello che ho messo in entrata, quindi i tag dovrebbero essere disabilitati in teoria....

in che senso non funziona?

Senza contare che ci sono altri caratteri che potrebbero dare fastidio oltre ai < > quindi è sempre consigliato utilizzare htmlspecialchars.

[zoc]

nel senso che se uno mi fa' lo scherzetto con lo <script> io me la becco...

[Nix82]

Originariamente inviato da zoc
nel senso che se uno mi fa' lo scherzetto con lo <script> io me la becco...

A me questo codice funziona correttamete

<?php

$message = "<script> alert('CIAO') </script> CIAO";

$message = str_replace ("<", "&lt;", $message);
$message = str_replace (">", "&gt;", $message); 

echo $message;

?>

[spidermassi]

ciao Nix82,
grazie del link, ho visto che ce n'è una marea ma non sapendo nulla di db non saprei quale usare... ne ho scaricati un paio e cerco di capirci qualcosa... così a naso me ne potresti consigliare uno?
grazie

[Nix82]

Originariamente inviato da spidermassi
ciao Nix82,
grazie del link, ho visto che ce n'è una marea ma non sapendo nulla di db non saprei quale usare... ne ho scaricati un paio e cerco di capirci qualcosa... così a naso me ne potresti consigliare uno?
grazie

mi spiace ma non testo guestbook
se te ne intendi di php installane uno di sicuro. Con questo voglio dirti di provare qualche tentativo di hacking per provare a verificare se regge.