PHP.SU

Программирование на PHP, MySQL и другие веб-технологии

PHP.SU Портал

Главная

Помощь

Поиск

Поиск Яндекс Вакансии

Пользователи

Здравствуйте, Гость

( Вход · Регистрация · Правила форума )

Забыли пароль?

Wordpress plugin можно ли перехватить содержимое POST?

Форумы портала PHP.SU » PHP » Программирование на PHP » Вопросы новичков (Модераторы: OrmaJever, Саныч, Строитель)

Страниц (1): [1]

Описание: Вопрос от начинающего программиста, прошу ногами не пинать ...

Поиск в теме | Версия для печати

dmitry	Отправлено: 23 Ноября, 2011 - 08:37:06
Новичок Покинул форум Сообщений всего: 27 Дата рег-ции: Нояб. 2011 Помог: 0 раз(а)	Добрый день уважаемые программисты. Пытаюсь доработать плагин по безопасности для своего блога на Wordpress 3.2. Нашел пример плагина, который позволяет проверять длинную запроса GET. PHP: скопировать код в буфер обмена if(strlen($_SERVER['REQUEST_URI']) > 250) { @header("HTTP/1.1 414 Request-URI Too Long"); @header("Status: 414 Request-URI Too Long"); @header("Connection: Close"); @exit; } Можно ли как то ГЛОБАЛЬНО проверять длину запроса передаваемого через форму методом POST? Заранее спасибо за Ваш ответ.

filkeith	Отправлено: 23 Ноября, 2011 - 08:48:55
Гость Покинул форум Сообщений всего: 112 Дата рег-ции: Июль 2011 Помог: 2 раз(а)	Ну или я не правльно понял что надо или же про вместо PHP: скопировать код в буфер обмена $_SERVER['REQUEST_URI'] пишешь PHP: скопировать код в буфер обмена $_POST['something']

EuGen	Отправлено: 23 Ноября, 2011 - 08:51:54
Профессионал Покинул форум Сообщений всего: 9095 Дата рег-ции: Июнь 2007 Откуда: Berlin Помог: 707 раз(а)	http://ru2.php.net/manual/en/ini...ni.post-max-size ----- Есть в мире две бесконечные вещи - это Вселенная и человеческая глупость. Но насчет первой .. я не уверен.

dmitry	Отправлено: 23 Ноября, 2011 - 10:22:06
Новичок Покинул форум Сообщений всего: 27 Дата рег-ции: Нояб. 2011 Помог: 0 раз(а)	filkeith пишет: пишешь PHP: $_POST['something'] Эта переменная будет содержать любые данные передаваемые в POST? PHP: скопировать код в буфер обмена $_POST['something'] Если задаю глупый вопрос, прошу меня великодушно простить. На углубленное изучение времени нет ... хакеры "имеют" мой блог "и в хвост и в гриву". Не знаю за что хвататься... Пытаюсь как то противостоять происходящему ... В первом посте не совсем полно описал задачу ... кроме длинны передаваемого запроса, нужно проверять не передается ли зловредный код через любую форму моего блога (пример eval(, .php .sh и т.д. ). Форм понаписал много, вроде кое где проверил, но хотелось бы универсальности т.к. сайт у меня не один. Буду признателен за Вашу помощь. Подскажите пожалуйста как это сделать, если такое возможно ... P.S. Для GET я вроде бы все необходимое уже написал, наверное для POST нужно как то по другому описывать?

snikers987	Отправлено: 23 Ноября, 2011 - 11:02:14
Участник Покинул форум Сообщений всего: 1239 Дата рег-ции: Сент. 2011 Откуда: Крым Помог: 25 раз(а)	PHP: скопировать код в буфер обмена htmlspecialchars(); mysql_real_escape_string(); Почитай об этих функциях ----- Когда всматриваешься в тёмную бездну, учти, что кто-то может смотреть на тебя из неё...

filkeith	Отправлено: 23 Ноября, 2011 - 13:01:35
Гость Покинул форум Сообщений всего: 112 Дата рег-ции: Июль 2011 Помог: 2 раз(а)	а зачем длину проверять, проверя переменные и всё, что вводится в формы. Т.О. например для фильтрации форм удаляй все нежелательные тэги и знаки так: PHP: скопировать код в буфер обмена function ChekData($message) { $notalload = array ("'<script[^>]?>.?</script>'si", "'<[\/\!]?[^<>]?>'si", "'([\r\n])[\s]+'", "'&(quot\|#34);'i", "'&(amp\|#38);'i", "'&(lt\|#60);'i", "'&(gt\|#62);'i", "'&(nbsp\|#160);'i", "'&(iexcl\|#161);'i", "'&(cent\|#162);'i", "'&(pound\|#163);'i", "'&(copy\|#169);'i", "'&#(\d+);'e"); $message=preg_replace($notalload, "", $message); } а то что передается в GET и POST если это циферные значения, то как то так: PHP: скопировать код в буфер обмена function ChekUrl($url) { preg_match("#(\d+)#",$url,$match); $url = ($match[1] != "") ? $match[1] : 1; $link=intval($url); }

dmitry	Отправлено: 23 Ноября, 2011 - 13:32:01
Новичок Покинул форум Сообщений всего: 27 Дата рег-ции: Нояб. 2011 Помог: 0 раз(а)	Спасибо Вам за Вашу помощь. Вы дали имена функций, которые необходимо встроить внутрь обработчика каждой формы, это очень полезная информация. Но у меня два десятка сайтов и три из них в данное время атакуются взломщиками всех мастей. Прям как полигон для тренировок ... И это еще не все сайты ... мне нужно сделать еще как минимум десяток сайтов. Если я буду проверять все формы которые сделал я и все формы которые сделал кто то (плагины) ... то на это уйдет много времени. Я думал, что есть возможность глобально проверять значения POST так же как и GET. А уже когда отбиться от основной атаки то пересмотреть те формы которые есть на сайте ... свои то формы я посмотреть смогу, но есть плагины например ContactForm в которых тоже могут быть уязвимости, но при этом у меня опыта не хватит чтобы проверить такие плагины на уязвимость. По этому для меня (как панацея на первое время) найти решение глобально проверять все данные передаваемые методом POST. Если есть такая возможность, подскажите пожалуйста ...

filkeith	Отправлено: 23 Ноября, 2011 - 14:56:28
Гость Покинул форум Сообщений всего: 112 Дата рег-ции: Июль 2011 Помог: 2 раз(а)	т.е. надо перебоать все данные что передаются в POST и проверить их? если да то: PHP: скопировать код в буфер обмена $notalload = array ("'<script[^>]?>.?</script>'si", "'<[\/\!]?[^<>]?>'si", "'([\r\n])[\s]+'", "'&(quot\|#34);'i", "'&(amp\|#38);'i", "'&(lt\|#60);'i", "'&(gt\|#62);'i", "'&(nbsp\|#160);'i", "'&(iexcl\|#161);'i", "'&(cent\|#162);'i", "'&(pound\|#163);'i", "'&(copy\|#169);'i", "'&#(\d+);'e"); foreach($_POST as $x => $y) { $_POST[$x] = preg_replace($notalload, '', $y); echo $_POST[$x];//это просто что бы результат видеть, можно и убрать } т.о. все значения POST, которые передали будут перелопачены хотя я опять чего то не понимаю. Это ж всёравно во все абработчики пихать надо, лучше буду молчать (Отредактировано автором: 23 Ноября, 2011 - 14:58:51)

dmitry	Отправлено: 23 Ноября, 2011 - 15:18:00
Новичок Покинул форум Сообщений всего: 27 Дата рег-ции: Нояб. 2011 Помог: 0 раз(а)	filkeith пишет: хотя я опять чего то не понимаю. Это ж всёравно во все абработчики пихать надо, лучше буду молчать Почему Вы не понимаете, это я не понимаю Ваш пример просто СУПЕР! О Вашем примере мы обязательно поговорим подробнее ... Попробую перефразировать свой вопрос. Переменная POST она глобальная? Например кто то вводит данные в плагин Contact form , я могу прочитать передаваемые данные формы в моем плагине?

filkeith	Отправлено: 23 Ноября, 2011 - 15:46:46
Гость Покинул форум Сообщений всего: 112 Дата рег-ции: Июль 2011 Помог: 2 раз(а)	dmitry пишет: Например кто то вводит данные в плагин Contact form , я могу прочитать передаваемые данные формы в моем плагине? я что то туплю просто Теперь понял что надо, но вопрос, ваш плагин с проверкой $_SERVER['REQUEST_URI'] он же должен на каждой странице срабатывать, т.е. его надо на каждую страницу добавить, так?

dmitry	Отправлено: 23 Ноября, 2011 - 15:56:26
Новичок Покинул форум Сообщений всего: 27 Дата рег-ции: Нояб. 2011 Помог: 0 раз(а)	filkeith пишет: dmitry пишет: Например кто то вводит данные в плагин Contact form , я могу прочитать передаваемые данные формы в моем плагине? я что то туплю просто Теперь понял что надо, но вопрос, ваш плагин с проверкой $_SERVER['REQUEST_URI'] он же должен на каждой странице срабатывать, т.е. его надо на каждую страницу добавить, так? Да плагин обрабатывает все страницы. Если посетитель сайта предпринял какие то противоправные действия, то плагин его банит на сутки (ведет лог, чтобы можно было глянуть что посетители делают). С $_SERVER['REQUEST_URI'] работает все отлично, но как я понимаю, $_SERVER['REQUEST_URI'] это метод GET, а мне нужно еще обезопасить метод POST или это одно и тоже?

Поиск в теме | Версия для печати

Страниц (1): [1]

Сейчас эту тему просматривают: 0 (гостей: 0, зарегистрированных: 0)

« Вопросы новичков »

Все гости форума могут просматривать этот раздел.
Только зарегистрированные пользователи могут создавать новые темы в этом разделе.
Только зарегистрированные пользователи могут отвечать на сообщения в этом разделе.