שאלה בקשר להצגת תמונה בPHP (קל)

[MusicMan]

אבל בשלב כל שהוא אני יעלה אותו...
ד"א יש פתרון לשאלה?

[BlueNosE]

אז תצטרך לאבטח כי יש בזה הרבה בעיות בסקריפט כזה.

[Inet]

בו נגיד את זה ככה: בעזרת טיפה עבודה אני מוריד לך את כל האתר =]....

[BlueNosE]

נכתב במקור על ידי Inet

בו נגיד את זה ככה: בעזרת טיפה עבודה אני מוריד לך את כל האתר =]....

אבל זה עדיין ברמת המחשב שלו, אז אין בעיה.. פשוט שידאג לאבטח את זה בהזדמנות הראשונה

[MusicMan]

לא נורא על השרת אין כלום חוץ מהתמונות...
מישו יודע מה הבעיה? למה זה לא עובד?

[Elad-A]

תנסה את זה:

PHP קוד:

<?php 

$img = $_GET['i'];
$ext = strtolower(array_pop(explode('.' , $img)));
$allow_ext = array('png' , 'bmp' , 'gif' , 'jpg');

if(!in_array($ext , $allow_ext))
{
    die('סיומת הקובץ לא מאופשרת להצגה');
}

if(!file_exists($img))
{
    die('הקובץ לא נמצא על השרת');
}

echo "<img width=\"500\" height=\"400\" src=\"{$img}\" alt=\"image bla blalba\" />";

?>

[MusicMan]

תראו הצלחתי לבד (ואני מזה מבסוט אני בקושי יודע PHP) לשפץ את הקוד שנתנו לי פה והפכתי אותו לכזה:

PHP קוד:

<?php
$img=$_GET['img'];
$img--;
echo "<a href=\"http://phpbbmods.freehost.co.il/pic/view.php?img={$img}\">  קודמת</a>";
$img++;
echo "<img src=\"http://phpbbmods.freehost.co.il/pic/ilcars%20%28{$img}%29.jpg\">";
$img++;
echo "<a href=\"http://phpbbmods.freehost.co.il/pic/view.php?img={$img}\"> הבאה</a>";
?>

עדיין יש בו חורים? כי אפשר לשים רק מספרים...
Elad-A תודה רבה לך! אני נראה לי ישלב בינהם..

[BlueNosE]

תראה,
בגלל שרשמת img-- - זה גורם לכל העניין להיות יותר פשוט.
בעצם ביצעת TYPE CASTING לINT בהנחה שהערך לא היה INT (אלא STRING למשל). וזה מאבטח את הקטע של XSS.

עכשיו יש עניין נוסף.. שזה לתת דברים שלא קיימים, אבל זה לא חובה לבצע - מה שכן, אתה יכול לבדוק האם הפונקצייה קיימת באמצעות.. file_exists.

www.php.net/file_exists

[MusicMan]

BlueNosE אני יודע C לכןהצלחתי לרשום את כל הקטע (C ממש דומה לPHP) אני ינסה להבין את ה file_exists
בקשר לINT איך אני מגדיר משתנה שיהיה כINT?

[BlueNosE]

תשמע זה לא חובה אם אתה כבר מראש יודע (נגיד $i = 50), אבל אם אתה לא יודע, נגיד מקבל מGET, אתה יכול להשתמש בפונקצייה intval או לרשום

PHP קוד:

$i = (intiger)$i;