Tekst selector (Simpel)

Hmm...
Zie het nut er niet van in... Staan al wel cms'en in de scriptlib.
Verder kopieer je vars wat helemaal niet nodig is en kan je waarschijnlijk php_self misbruiken.

$_SERVER['PHP_SELF'] is gevoelig voor XSS aanvallen. Dus of parsen of basename(__FILE__); gebruiken bijvoorbeeld.

Inderdaad is het gevoelig voor aanvallen, ongetwijfeld...
Er staat ook niet voor niks Beginner....
En het is mijn eerste scriptje.....
Maar hoe complex het script ook gemaakt is, bijna niets is veilig!!!
dat blijkt wel weer uit de verschillende succesvolle aanvallen op cms websites in Nederland en elders.

Het werkt en ik heb er veel aan gehad dus andere beginners kunnen hier misschien ook mee uit de voeten.

Zie het maar als een simpele manier om tekst weer te geven binnen een pagina.


En aan iedereen, Ja het staat altijd open voor verbetering en het is vrij om daaraan wat te doen, Misschien voor beginners een leuk dingetje...

Beginner slaat op voor wie dit script is bedoelt. Omdat jij een beginner bent hoef je dus niet dit script bij beginners te plaatsen.
Verder moet je beginners zo veel mogelijk behoeden voor fouten, wat jij dus nu niet doet, je zou juist moeten zorgen dat het niet misbruikt kan worden.
Verder is het heel leuk voor je dat het je eerste scriptje is, maar ik zie de meerwaarde er niet van in.

Daarom hoef je niet bewust je script onveilig laten. Soms zijn het simpele fouten, maar soms ook niet, zijn het hele gecompliceerde dingen.


Ik vind het niet zo'n geweldig script wat als voorbeeldscript voor beginners gebruikt zou kunnen worden...


En gevaarlijk.

Zoiets is toch makkelijker??
en $tekst vul je dan gewoon met een $_GET oid...

isset is lek, gebruik liever empty.
Kijk of je GET een cijfer is dmv ctype_digit.
Waarom een redirect als het fout is, en niet gewoon automatisch "1" selecteren?

"Er staat ook niet voor niks Beginner....
En het is mijn eerste scriptje.....
Maar hoe complex het script ook gemaakt is, bijna niets is veilig!!!"

Vraag dan op het forum of men het goed vind dat je het hier plaatst ;-)
Als je beveiliging serieus neemt, dan is het echt wel veilig hoor! Dat leer je met de tijd ;-)

Ik denk dat hier de plank volledig misgeslagen wordt....
@Karl

Prima dat je commentaar heb ben daar echt niet bang voor, maar houdt wel in je achterhoofd dat de wijze van beveiliging wel moet slaan op de toepassing.
MET ANDERE WOORDEN:

Je gaat niet een oude fiets met 8 sloten behangen.

Je gebruikt je mate van beveiliging daar waar het nodig is.
Op simpele websites met wat simpele tekst dingen hoef je echt niet veel beveiliging in te bouwen, is een leuk argument puntje maar Echt niet nodig.
En gevaarlijk.... Sorry, maar dat gaat me echt net even te ver!!!!

Ik heb al heel wat websites gemaakt en ben nog nooit in een situatie terecht gekomen waarin dergelijke strikte beveiliging nodig is.
Ben het zeker wel met je eens dat je moet letten op beveiliging, maar maak er a.u.b. niet zo´n punt van... Leren doen we allemaal en meestal als er iets fout gaat en van gevorderden zoals jij zelf.

Je moet ook even nagaan wat de schade indicatie van het niet gebruiken van strikte beveiliging moet zijn.
er worden in ditgeval geen persoonlijke gegevens behandeld in dit gedeelte en kom daar ook niet in de buurt.

Goed,

Ik begrijp de reacties, als jullie het het niks vinden is dat duidelijk....

Ieder zijn eigen mening.

Er zijn wat dat betreft wel meer discutabele scriptjes in omloop, ook in deze lib.

Gr.

"Ik heb al heel wat websites gemaakt en ben nog nooit in een situatie terecht gekomen waarin dergelijke strikte beveiliging nodig is."
Plaats hier maar een paar sites en je zult snel genoeg zien of ze veilig genoeg zijn ja of nee ;-)

"Er zijn wat dat betreft wel meer discutabele scriptjes in omloop, ook in deze lib."
Klopt, maar er zijn volgens mij best wel veel scripts hier die oud zijn. De jouwe is nieuw (lijkt me..) en zou dan dus veilig moeten zijn, en gebruik maken van (wat Lode zei) basename(__FILE__);

"Ben het zeker wel met je eens dat je moet letten op beveiliging, maar maak er a.u.b. niet zo´n punt van... Je moet ook even nagaan wat de schade indicatie van het niet gebruiken van strikte beveiliging moet zijn. Ieder zijn eigen mening."
Ben ik het niet met je eens. Beveiliging zou een standaard moeten zijn, ongeacht de grootte van je website/script wat dan ook ;-)

Die gedachtegang deel ik ook samen met jullie, maar we hebben het maar over een klein scriptje hier, en ben zelf ook nog aan het leren, net zoals iedereen hier.... !!!!!!

Want als het ene monent iets veilig is, is het een week later weer niet goed omdat iemand die slimmer is dan de rest weer een hole heeft gevonden.

Men hoeft niet door te draaien en er een hartaanval van frustratie aan over te houden, zeg gewoon wat beter kan, weg moet, verbeter punten.

Ik zal wel zelf aan mijn beveiliging gaan werken want daar valt voor mij nog een hoop aan te leren.

We kunnen het natuurlijk ook nog altijd weghalen!! Toch!!


Gr


ZZmile...... it's a beautyfull day

"net zoals iedereen hier...."
Sommigen zoeken geen hulp, maar bieden die aan. En het lijkt me dan ook slim als je je bedenkt, goh, misschien hebben ze gelijk; laat ik mijn script updaten! En laat ik hier ook gelijk wat van leren!

"Want als het ene monent iets veilig is, is het een week later weer niet goed omdat iemand die slimmer is dan de rest weer een hole heeft gevonden."
En wat doe je dan? Er van leren! En het updaten :-) Als webdeveloper leer je dagelijks bij hoor ;-)

"zeg gewoon wat beter kan, weg moet, verbeter punten."
Volgens mij hebben we dat nou juist gedaan...

Mijn lieve schat, begrijp nou eens dat jij een los slot op je fiets hangt. Als jij lekker je website onveilig wilt hebben, dan moet je dat lekker hebben, maar dat moet niet bij beginners gebeuren, omdat die even een script ergens vandaan hebt gehaalt.


Snap nou eens dat dit niet een show off is voor jou (bah) scriptkwaliteiten. Mensen halen hier scripts weg, dus moet het script wel goed zijn.
Jelmer heeft in dit voorbeeld laten zien waarom je niet op php_self kunt vertrouwen.


Desalniettemin moet je geen schadelijke dingen bewust inbouwen. Een beginner kan dit script wel gaan gebruiken als voorbeeld en dan wel gevoelige informatie gaan gebruiken.


Dat is door dictator Bas afgedaan als "oude koeien uit de sloot trekken" geloof ik.


Mjah, kleine scriptjes kunnen grote gevolgen hebben.
Als iemand verkeerd checkt bij het uploaden van bestanden kan er zo php worden geupload. Oftewel, dan kan je alles op die server doen wat kan met php.
En eventueel kan je nog meer doen, met bijvoorbeeld de backtick operator. Dan kan je gewoon op het systeem werken. En dat door een klein uploadscript.
Je moet dus wel goed opletten.
Ik heb nog een hartaanval gehad hoor.

Ik had het over dat opruimactie topic :-), iig dat bedoelde ik.
Nee, Bas is geen leugenaar, hij is een dictator, met z'n macht spelletje / nazi kamp. Een dictator mag liegen, zijn wil is weg, wat hij zegt klopt.

http://nl.wikipedia.org/wiki/Dictator_%28modern%29

Jongens, als jullie door de drukke planning van Bas phphulp.nl een slechte site vinden waren jullie er al lang niet meer gekomen. Het heeft niet zo veel zin om allerlei namen voor 'm te verzinnen toch? Wees blij dat er iets in de maak is en tot nu toe voldoet de huidige website nog prima bij normaal gebruik.

Gewoon scriptjes toevoegen, forum actief houden en je mond houden over nieuwe versies. Die komen vanzelf wel; of niet omdat het publiek er niet leuker op wordt.

Ik zal ongetwijfeld alle commentaar tot mij nemen en de wijze woorden hieruit voortvloeiend leerzaam achten.

Echter,...

Zijn hier verschrikkelijk goede phpers waarvan sommigen weinig verstand hebben van beveiligen, WEL op het praktische uitvoerbare gebied m.b.v. php maar niet van de algemene zin van het woord!!!!!!

Ik ben beveiligings expert en geef op het gebied van beveiliging en alles wat daar omheen gevat kan worden adviezen uit aan particulieren en instellingen.
Dit betreffen algemene beveiligingszaken bestemd voor open , half gesloten, en gesloten instellingen en particuliere organisaties.

Het zelfde principe kan worden toegepast op websites in complexe en minder complexe vorm.
Ik ben het eens met jullie allen over de veiligheid van websites maar zet daar zeker vraagtekens bij!! want net als een konijn bevangen door de koplampen beveiliging gaan toepassen op onderdelen van websites waarvoor het geen enkel nut dient ben je niet echt goed bezig.
Waarom ga je alles tot in de puntjes beveiliging als het te beveiligen doel simpel van opzet is en enige derving van enig soort geen enkel risico vormt voor de eigenaar van de website en zijn webhost. Het is immers zo weer terug gezet en de webhosts zijn hiertegen wel beveiligd.

Dit soort zaken kun je terugvinden in een risico inventarisatie en evaluatie.

Je moet je afvragen of het beveiligde wel zijn nut dient, zijn er gewilligden die verkeerde plannen hebben met je website en bestaat er een risico dat men een aanval op je website zal plegen... Denk hierbij aan het nut van aanvallen en wat is het gewin van de te kraken website.

Wel ga ik mijn script aanpassen zoals is voorgesteld door vele van u, om maar diegene welke eventueel gebruikmaken van het script geen risico te laten lopen.

En daar laat ik het maar bij .....


Gr.

En bedankt voor deze leerzame dag.