Технический сбой

Сайт временно работает в режиме только для чтения, идут восстановительные работы. Приносим свои извинения за неудобства.

DLE FAQ » Все вопросы » Общие вопросы по PHP » Как обезопасить PHP-скрипт от прямого доступа?

Как обезопасить PHP-скрипт от прямого доступа?

web102 Общие вопросы по PHP, Модули, Ламерские вопросы 1027

вопрос

Доброго времени!

Сделал примитивный хак для изменения значения допполя непосредственной в новости. Через js выполняется AJAX-запрос к php-файлу в папке engine/ajax:

Содержимое PHP-файла

<?php

@error_reporting ( E_ALL ^ E_WARNING ^ E_DEPRECATED ^ E_NOTICE );
@ini_set ( 'error_reporting', E_ALL ^ E_WARNING ^ E_DEPRECATED ^ E_NOTICE );
@ini_set ( 'display_errors', true );
@ini_set ( 'html_errors', false );

define( 'DATALIFEENGINE', true );
define( 'ROOT_DIR', substr( dirname(  __FILE__ ), 0, -12 ) );
define( 'ENGINE_DIR', ROOT_DIR . '/engine' );

include_once (ENGINE_DIR . '/classes/plugins.class.php');

$id  = $db->safesql( $_REQUEST['id'] );
$xn  = $db->safesql( $_REQUEST['xn'] );
$xv  = $db->safesql( $_REQUEST['xv'] );
$xnv = $db->safesql( $_REQUEST['xnv'] );
    
  
$db->query( "UPDATE " . PREFIX . "_post SET xfields=REPLACE(xfields, '$xn|$xv', '$xn|$xnv') WHERE id = '$id'" );
$db->close();

Каким образом можно ограничить прямой доступ к файлу?

if(!defined('DATALIFEENGINE')) {
	header( "HTTP/1.1 403 Forbidden" );
	header ( 'Location: ../../' );
	die( "Hacking attempt!" );
}

if( !$is_logged ) die( "error" );

не работают...

Ответа пока нет

8 комментариев

Эксперт

785

TeraMoune - - #79301

Проверяйте метод запроса.

Тестовый репозиторий установки плагинов: teramoune

Юзер

web102 - - #79309

можно поподробнее? JS отправляет запрос методом $_POST, а при прямом обращении через браузер - $_GET? Из этого исходить?

Эксперт

785

TeraMoune - - #79310

Верно, делаете условие и если метод запроса post то пропускаете если иначе то прекращаете работу.

Тестовый репозиторий установки плагинов: teramoune

PHP-developer

3198

dj-avtosh - - #79303

Скажите, что значит прямой доступ к файлу?

По заказам пишем сюда: @Rud00y

ЯД: 41001679231462
Заказы в telegram (ремонт модулей, оптимизация нагрузок и т.п.):
В телегу писать сразу задачу и бюджет.

Юзер

keaks - - #79304

dj-avtosh,
Он видимо имеет ввиду что при прямом обращении к его скрипту от люого пользователя выполняется действие.

Юзер

web102 - - #79308

совершенно верно

PHP-developer

3198

dj-avtosh - - #79312

https://dle-faq.ru/faq/phpquest/27201-kak-zaschitit-php-skripty-vyzyvaemye-cherez-ajax-jquery.html

Юзер

web102 - - #79313

Спасибо, добрый человек! То, что нужно!

Puxlik | Telegram Sender ¹³

Puxlik
Telegram Sender

Версию 17.1 поддерживает ?
TeraMoune | Не загружается изображение [Ошибка HTTP] ... ²

TeraMoune
Не загружается изображение [Ошибка HTTP]. Как исправить?

В этой версии есть фрагментация загрузки файла когда загружаемый файл разделяется на фрагменты, по умолчанию 1 фрагмент 1.5мб. (И у вас написано лимиты на файл 4мб и картинки 5.86мб, этого достаточно чтобы принимать 1.5мб фрагменты) И если бы была проблема с весом или чем-то подобным то об этом бы сервер сообщил. Сервер отдал 500 ошибку это значит что угодно, нужно смотреть ответ от сервера в консоли разработчика или логах.
RedFox | Не загружается изображение [Ошибка HTTP] ... ²

RedFox
Не загружается изображение [Ошибка HTTP]. Как исправить?

"Некоторые картинки загружаются, но большинство нет."

Сначала не обратил внимания, но видимо проблема в этом. Все, что больше 100Кб, не загружается. Что странно, поскольку в php у меня следующие значения:
post_max_size = 100M
upload_max_filesize = 100M
max_file_uploads = 20

Полагаю, где-то еще надо увеличить размер загружаемой картинки, но где?
LMakc | Модуль читалка pdf ¹

LMakc
Модуль читалка pdf

Не начинай, я заплатил сегодня штраф за підручники. Сейчас очень сложно с этим.
ssssss | Сделать подсчет количества символов в ко ... ⁵

ssssss
Сделать подсчет количества символов в комментариях

Есть актуальный плагин под 17 версию? (только количество символов! без наворотов... записей куда-либо и т.п.) *ББ-редактор
alex.sg.spb | Как вывести информацию о обновлении ново ... ⁸

alex.sg.spb
Как вывести информацию о обновлении новости, но на время?

вопрос, в продолжение поста. Помогите с кодом вывода инфо UPDATE на краткой новости, так чтобы не нужно было нажимать внутри новости при редактировании галочку?
Kentavr | Как вместо %20 в адресной строке подстав ... ⁹

Kentavr
Как вместо %20 в адресной строке подставлять символ + между словами ???

Спасибо огромное. Этот вариант самый простой и рабочий!

derebas | Как вместо %20 в адресной строке подстав ... ⁹

derebas
Как вместо %20 в адресной строке подставлять символ + между словами ???

К черту htaccess давайте проще

к href добавьте id="xfield_value"

<a href="/company/[xfvalue_company]/" id="xfield_value">[xfvalue_company]</a>

И добавьте скрипт обработчик

<script>
document.addEventListener('DOMContentLoaded', function() {
    const links = document.querySelectorAll('a#xfield_value');

    links.forEach(link => {
      let href = link.getAttribute('href');

      if (href) {
        href = href.replace(/ /g, '+');
        link.setAttribute('href', href);
      }
    });
  });
</script>

Kentavr | Как вместо %20 в адресной строке подстав ... ⁹

Kentavr
Как вместо %20 в адресной строке подставлять символ + между словами ???

Так сайт не работает вообще. Браузер выдает такое

Страница недоступна Сайт ... выполнил переадресацию слишком много раз.
Попробуйте удалить файлы cookie.

ERR_TOO_MANY_REDIRECTS

Куки чистил не помогает
derebas | Как вместо %20 в адресной строке подстав ... ⁹

derebas
Как вместо %20 в адресной строке подставлять символ + между словами ???

Попробуйте так
RewriteEngine On
RewriteCond %{REQUEST_URI} %20
RewriteRule (.*)%20(.*) $1+$2 [N]
RewriteRule (.*) $1 [R=301,L]

наверх

Технический сбой

Как обезопасить PHP-скрипт от прямого доступа?

Ответа пока нет

8 комментариев

Похожие вопросы

Не порядок с кодировкой

ajax подгрузка в таб после нажатия

Как решить проблему?

Как правильно создать запрос?

Как решить данную проблему?

Как запустить php файл в адресной строке?

Как настроить файловое кэширование?

Можно ли сделать такую проверку?

Что надо изменить, чтоб данный скрипт всё действие испонял также, только в другую базу?

Как выполнить SQL запросы при клике по кнопке с админки?