Invalid Banner Code!

beedo

hallo zusammen,

ich möchte nen kleines bannertausch-system aufbauen.
nun habe ich mich testweise angemeldet und den automatisch genrerierten code eingebaut, doch irgendwie will das ding nicht...

fehler ist immer: Invalid Banner Code!
hier der code:

PHP

<!--Begin Sponsor4Webmaster Bannertausch code -->
 <center><iframe align=top width=468 height=60 marginwidth=0 marginheight=0 hspace=0 vspace=0 frameborder=0 scrolling=no src="http://sponsor4webmaster.de/bannertausch/view.php?uid=1&cat=0"><ilayer align=top width=468 height=60 src="http://sponsor4webmaster.de/bannertausch/view.php?uid=1&cat=0"></ILAYER> </iframe></td></tr></table>
 <!--End Sponsor4Webmaster Bannertausch code -->

als anhang noch die .php datei die den code generiert und die view.php.

ich hoffe ihr könnt mir behilflich sein.

beste grüße

The User

Kannst du vielleicht die Code-Stelle senden, wo es zum Invalid Banner Code kommt? Wo das ausgegeben wird?

beedo

Zitat von The User

Kannst du vielleicht die Code-Stelle senden, wo es zum Invalid Banner Code kommt? Wo das ausgegeben wird?

verstehe nicht genau was du meinst...
ich habe die datei view.php und die datei gethtml.php angehägt, denke diese sind die wichtigen.

ansonsten habe ich den code einfach in die webseite eingebaut und es kam diese fehlermeldung (ie und ff).

wenn man z.b. den link anklicke erscheint de rfehler auch:
http://sponsor4webmaster.de/bannertausch/view.php?uid=1&cat=0

gruss

Bandit

Das Script view.php erwartet:

$uid=$_REQUEST['uid'];
$cat=$_REQUEST['catid'];

Du übergibst ab uid und cat

The User

Ein paar Sicherheitshinweise zu deinem gethtml.php:
1. Du fügst eine benutzerübergebene Variable direkt in den SQL-Query ein, übergibt ein Nutzer nun z. B. als Passwort SQL-Code, wird dieser unter Umständen ausgeführt.
http://de.php.net/PDO
http://de.php.net/mysqlrealescapestring
2. Die Passwörter stehen in der Datenbank ungeschützt.
Sollte nun jemand (z. B. durch die oben genannte Sicherheitslücke) etwas aus der DB auslesen können, sieht er auch die Passwörter. Mit PHP kannst du allerdings dagegen vorbeugen, z. B.:

PHP

function sec_hash($pw)
{
  return hash(hash($pw, 'whirlpool'), 'sha512');
}

Anstatt das Passwort in die DB zu schreiben, schreibst du nun sec_hash('passwort') in die DB. Und anstatt das Passwort anzufragen, fragst du einfach sec_hash($passwort) ab. Diese Funktion ist praktisch unentschlüsselbar, sodass auch Leute, die in deine DB gekommen sind, keinen Zugriff auf die Passwörter haben, selbst du nicht.
3. Du solltest nicht 'SELECT *' verwenden (außer beinem DB-Backup o. ä.). Dadurch werden unnütze Daten ausgelesen werden, was das System belastet. Wenn gleich alles ausgelesen wird, hat außerdem ein Cracker leichteres Spiel, als wenn ein Script mit unsicherer nur auf wenige relevante zugreift.

Viele liebe Grüße
The User

Edit:
Wenn du den sec_hash verwenden willst, braucht deine Passwort-Spalte den Typ varchar(128).

Tags