So ziemlich gar nichts, außer evtl String-Ersetzungsfunktionen, aber auf die würde ich mich da auch nicht verlassen. Am einfachsten und sichersten ist immer noch, alle Werte, die vorkommen dürfen, in ein Array zu packen und dann abzugleichen, ob die Eingabe im Array ist.
Könnte evtl einer der Mods den Thread splitten?
http://de2.php.net/ctype_alnum
Geile funktion könnte ja eigentlich auf htmlspezialchars ablösen nur das die Funktion eben nur true und false gibt und nicht den string
mfg
Was bringt mir das, wenn ich nur true oder false als Resultat zurückbekomme?
Wenn ich htmlspecialchars() oder htmlentities() verwende möchte ich doch, dass ich einen String mit HTML-konformen Zeichen zurückbekomme?
Also wo ist da der Sinn als Alternative?
Die Funktion ist vielleicht manchmal praktisch, doch im Fall einer Alternative eindeutig nicht zu gebrauchen.
Die Funktion besozog sich auf das Überprüfen oben
Die Funktion besozog sich auf das Überprüfen oben
Ja klar.. Hab ich schon verstanden...
Aber nenn mir mal ein konkretes Beispiel, wo deine vorgeschlagene Funktion nützlich ist.
Nur aus Neugier, denn mir fällt im Moment wirklich nichts ein.
Alles anzeigenWas passiert, wenn ich per $_POST['seitenname'] folgendes übergebe?
Dann schreibt das Script in
Die rot gekennzeichneten Teile fallen aber quasi raus aus den folgenden Gründen:
%00, also 0 Byte, kennzeichnen auf Unix (und die meisten Server laufen ja auf Unix) das Ende der Zeichenkette. ../ navigiert ein Verzeichnis hinauf.
In Wirklichkeit wird mein geposteter Inhalt also ingeschrieben und die vorhandene Datei dabei überschrieben.
Normalerweise kann man %00 zwar nicht so einfach per POST verschicken, aber wozu gibt es Erweiterungen wie Hackbar oder Tamper Data. Selbstverständlich sollten diese nur zu Testzwecken benutzt werden
Genau dafür ....
mfg
Ach ok.. Sorry und danke das hilft mir grad auch weiter 
Weil die Server wohl so gut gesichert waren. Aber wenn es unbedingt sein muss, hier hast du eine Endlosschleife durch Selbstinklusion.
http://www.lhc-facts.ch/index.php?page=index.php%00
Ich bin der Betreiber von lhc-facts.ch. Allerdings habe ich die Seite nicht selbst erstellt (nur den Inhalt). Die Programmierung hat mein Bruder grösstenteils übernommen. Leider ist er zurzeit auf einer 3 monatigen Weltreise und ich kann ihn nicht fragen, wie diese Schleife zustande kam.
Meine Frage:
Beim normalem navigieren durch die Seite kommt man gar zu diesem Fehler, oder? Oder gibt es auf meiner Seite einen Link der zu diesem Fehler führt?
Korrektur vom vorherigen Post:
Meine Frage:
Beim normalem navigieren durch die Seite kommt man gar nicht zu diesem Fehler, oder? Oder gibt es auf meiner Seite einen Link der zu diesem Fehler führt?
