Не нравятся результаты поиска? Попробуйте другой поиск!

DLE FAQ » Все вопросы » Общие вопросы по PHP » Как обезопасить PHP-скрипт от прямого доступа?

Как обезопасить PHP-скрипт от прямого доступа?

web102 14.03.2021 Общие вопросы по PHP, Модули, Ламерские вопросы 1068

вопрос

Доброго времени!

Сделал примитивный хак для изменения значения допполя непосредственной в новости. Через js выполняется AJAX-запрос к php-файлу в папке engine/ajax:

Содержимое PHP-файла

<?php

@error_reporting ( E_ALL ^ E_WARNING ^ E_DEPRECATED ^ E_NOTICE );
@ini_set ( 'error_reporting', E_ALL ^ E_WARNING ^ E_DEPRECATED ^ E_NOTICE );
@ini_set ( 'display_errors', true );
@ini_set ( 'html_errors', false );

define( 'DATALIFEENGINE', true );
define( 'ROOT_DIR', substr( dirname(  __FILE__ ), 0, -12 ) );
define( 'ENGINE_DIR', ROOT_DIR . '/engine' );

include_once (ENGINE_DIR . '/classes/plugins.class.php');

$id  = $db->safesql( $_REQUEST['id'] );
$xn  = $db->safesql( $_REQUEST['xn'] );
$xv  = $db->safesql( $_REQUEST['xv'] );
$xnv = $db->safesql( $_REQUEST['xnv'] );
    
  
$db->query( "UPDATE " . PREFIX . "_post SET xfields=REPLACE(xfields, '$xn|$xv', '$xn|$xnv') WHERE id = '$id'" );
$db->close();

Каким образом можно ограничить прямой доступ к файлу?

if(!defined('DATALIFEENGINE')) {
	header( "HTTP/1.1 403 Forbidden" );
	header ( 'Location: ../../' );
	die( "Hacking attempt!" );
}

if( !$is_logged ) die( "error" );

не работают...

Ответа пока нет

8 комментариев

Эксперт

800

TeraMoune - 2020-11-0114 марта 2021 22:12 - #79301

Проверяйте метод запроса.

Тестовый репозиторий установки плагинов: teramoune

Юзер

web102 - 2020-11-0115 марта 2021 06:53 - #79309

можно поподробнее? JS отправляет запрос методом $_POST, а при прямом обращении через браузер - $_GET? Из этого исходить?

Эксперт

800

TeraMoune - 2020-11-0115 марта 2021 09:16 - #79310

Верно, делаете условие и если метод запроса post то пропускаете если иначе то прекращаете работу.

Тестовый репозиторий установки плагинов: teramoune

PHP-developer

3198

dj-avtosh - 2020-11-0114 марта 2021 23:43 - #79303

Скажите, что значит прямой доступ к файлу?

По заказам пишем сюда: @Rud00y

ЯД: 41001679231462
Заказы в telegram (ремонт модулей, оптимизация нагрузок и т.п.):
В телегу писать сразу задачу и бюджет.

Юзер

keaks - 2020-11-0115 марта 2021 00:37 - #79304

dj-avtosh,
Он видимо имеет ввиду что при прямом обращении к его скрипту от люого пользователя выполняется действие.

Юзер

web102 - 2020-11-0115 марта 2021 06:52 - #79308

совершенно верно

PHP-developer

3198

dj-avtosh - 2020-11-0115 марта 2021 10:33 - #79312

https://dle-faq.ru/faq/phpquest/27201-kak-zaschitit-php-skripty-vyzyvaemye-cherez-ajax-jquery.html

Юзер

web102 - 2020-11-0115 марта 2021 10:51 - #79313

Спасибо, добрый человек! То, что нужно!

Похожие вопросы

Не порядок с кодировкой

12.07.2012 Arteom Общие вопросы по PHP

ajax подгрузка в таб после нажатия

20.06.2014 Kota jQuery, Общие вопросы по PHP

Как решить проблему?

25.08.2014 Killerkiss jQuery, Общие вопросы по PHP

Как правильно создать запрос?

07.03.2015 kent Общие вопросы по PHP, Модули, MySQL

Как решить данную проблему?

07.07.2017 igrovik Общие вопросы по PHP, Модули

Как запустить php файл в адресной строке?

21.08.2017 kovalenko3331 Общие вопросы по PHP

Как настроить файловое кэширование?

05.10.2017 magik Общие вопросы по PHP

Можно ли сделать такую проверку?

07.11.2017 igrovik Общие вопросы, Общие вопросы по PHP

Что надо изменить, чтоб данный скрипт всё действие испонял также, только в другую базу?

22.03.2020 4iLi737 Общие вопросы по PHP, Хаки, MySQL

Как выполнить SQL запросы при клике по кнопке с админки?

01.11.2020 ushkom jQuery, Общие вопросы по PHP, Хаки

Последние события

Shandi | Почему не отображается картинка в галере ... ²

Shandi
Почему не отображается картинка в галерее?
Сегодня, 08:53

Мне как ламеру ничего не понятно:( Кто-то это исправляет за денужку?
TeraMoune | Как сделать водяной знак с заменой? ¹

TeraMoune
Как сделать водяной знак с заменой?
Вчера, 23:29

Картинки загружаются в разные директории в зависимости от длительного периода загрузок этих папок может быть десятки. Более того оригинальные изображения не всегда имеют безопасные имена и при загрузке часто переименовываются. Так что не факт, что оригиналы соответствуют загруженным копиям.
TeraMoune | Почему не отображается картинка в галере ... ²

TeraMoune
Почему не отображается картинка в галерее?
Вчера, 23:19

Потому что какой-то стиль может скрывает изображение. Проинспектируйте элемент, отыщите в древо html изображение и указав на него указатель в инспекторе кода посмотрите не наследуются ли какие-то посторонние стили.
Beton1205 | Как реализовать шифрование трафика? ⁴

Beton1205
Как реализовать шифрование трафика?
Вчера, 17:55

Делается очень просто. Грузим файлы на cdn, либо друглй сервак.
На сайте пишем простой скрипт, который будет получать реальные адреса, например адрес файла site.ru/video.mp4, скрипт долюен проверять, что с вашего адреса идет звпрос. И тупо скриптом выводим ссылку аля vashsite.site/video.mp4 и прокидукм ее mod rewrite
mondolfo | Как вывесит в comments.tpl картинку с но ... ⁷

mondolfo
Как вывесит в comments.tpl картинку с новости?
23-11-2024, 23:42

кто-нибудь решил эту?
Darkzone | Выбор категории для доп. поля? ⁴

Darkzone
Выбор категории для доп. поля?
22-11-2024, 17:08

Разъясните как вытащить id?
lutskboy | Вытащить все данные из определенного доп ... ¹

lutskboy
Вытащить все данные из определенного доп поля?
22-11-2024, 16:17

в adminer можно.

lutskboy | Выбор категории для доп. поля? ⁴

lutskboy
Выбор категории для доп. поля?
22-11-2024, 16:14

выбрать все кроме такого нет. можно с бд достать все ид через запятую и вставить в xfields.txt
js скрипт можно написать


<script>
    window.addEventListener('load', ()=> {
        $('#category').on('change', function() {
            var value = $(this).val();
            if ($.isArray(value)) {
            	ShowOrHideEx("xfield_holder_year", jQuery.inArray('1', value) != -1 || jQuery.inArray('2', value) != -1 );
            } else {
            	ShowOrHideEx("xfield_holder_year", value == 1 || value==2);
            }
        })
    });
</script>
year доп поле . 1 и 2 катег

Darkzone | Выбор категории для доп. поля? ⁴

Darkzone
Выбор категории для доп. поля?
22-11-2024, 14:39

Смотрите, Нужно чтоб обязательное к заполнению доп. поле при добавлении новости, выводилось во всех категориях, кроме двух. Так как количество категорий довольно большое, есть ли способ, не тыкать каждую категорию в которой будет отображаться доп.поле. Надеюсь я смог разъяснить.
lutskboy | Выбор категории для доп. поля? ⁴

lutskboy
Выбор категории для доп. поля?
22-11-2024, 13:52

где выводить? админка или сайт

наверх