[PHP] טיפול קלט

[Kfir.G]

עריכה:
הנושא היה אמור להיות טיפול בקלט :P
שלום,
יש לי תופס שבו המשתמש שולח מידע ואני מעביר אותו ככה

PHP קוד:

$content= $_POST['msg'];
$content= html_entity_decode($content);
$tags    = "<p><h1><font><ol><ul><li><hr>"
        ."<blockquote><a><img><embed><strong>"
        ."<em><u><strike><sup><sub>";
$content= strip_tags($content,$tags); 


ובכל זאת משתמשים מצליחים להחדיר תגים שהstrip_tags אמור להוריד... מה עושים?
תודה מראש
כפיר

[Meir]

התיאור פה מתאים לבעיה שלך אני חושב: http://marc.info/?l=bugtraq&m=108981589117423.

[DanielS]

שוב טעות נפוצה במקום לאפשר הכל ולחסום חלק.
תחסום הכל ותאפשר חלק.
או אם אתה רוצה לחסום את כל הHTML תשתמש בhtmlspecialchars()

[Kfir.G]

נכתב במקור על ידי Meir

התיאור פה מתאים לבעיה שלך אני חושב: http://marc.info/?l=bugtraq&m=108981589117423.

יכול להיות שככה משתמשים מצליחים לעקוף את זה ויכול להיות שלא...
בכל מקרה לא ממש הצלחתי למצוא את הפתרון עצמו לבעיה בעמוד הזה... ממה שהבנתי זאת
http://security.e-matters.de/gpg_key.asc
אמורה להיות הצפנה של הפתרון אבל לא ממש הבנתי איך לבטל את ההצפנה...
בכל מקרה תודה על העזרה ואני אשמח לשמוע הצעות נוספות לפתרון

נכתב במקור על ידי DanielS

שוב טעות נפוצה במקום לאפשר הכל ולחסום חלק.
תחסום הכל ותאפשר חלק.
או אם אתה רוצה לחסום את כל הHTML תשתמש בhtmlspecialchars()

במקרה שלא שמת לב אני חסמתי הכל ואפשרתי חלק... רשימת התגים בTAGS אלו הם התגים המותרים! לשימוש כל השאר אסורים...

[Meir]

תנסה את זה:

PHP קוד:

<?php
$string = 'test tag <script> and <p>';

function check_tag($tag) {
    if (in_array(str_replace('/', '', $tag), array('p', 'b', 'hr', 'a'))) {
        return '<'.$tag.'>';
    }
    return false;
}

echo preg_replace('/<(.*?)>/ie', 'check_tag("\\1")', $string);
?>

[Kfir.G]

נכתב במקור על ידי Meir

תנסה את זה:

PHP קוד:

<?php
$string = 'test tag <script> and <p>';

function check_tag($tag) {
    if (in_array(str_replace('/', '', $tag), array('p', 'b', 'hr', 'a'))) {
        return '<'.$tag.'>';
    }
    return false;
}

echo preg_replace('/<(.*?)>/ie', 'check_tag("\\1")', $string);
?>

לא עובד לי...
ד"א מה בדיוק עושה \\1?

[Meir]

מעביר את התוצאה מהביטוי הרגולרי לפונקציה, שים לב שהפונקציה מאפשרת רק את התגים שנמצאים במערך בתוך הפונקציה delete כלומר רק את: p, b, hr וa.

ותוסיף את התיקון הבא:

PHP קוד:

str_replace(array('/', ' '), '', $tag) 


כי יש תגים שנוהגים להכניס בהם רווח כמו hr.

[Kfir.G]

נכתב במקור על ידי Meir

מעביר את התוצאה מהביטוי הרגולרי לפונקציה, שים לב שהפונקציה מאפשרת רק את התגים שנמצאים במערך בתוך הפונקציה delete כלומר רק את: p, b, hr וa.

ותוסיף את התיקון הבא:

PHP קוד:

str_replace(array('/', ' '), '', $tag) 


כי יש תגים שנוהגים להכניס בהם רווח כמו hr.

בכל מקרה הפונקציה שלך מורידה את הכל חוץ מ <שם התג> וזה לא מה שאני צריך... אני צריך שאם זה תג מאושר הכל ישאר...

[Daniel]

ברגע שאתה מאפשר תג אחד-הכל פרוץ. תשתמש ב-htmlspecialchars.

[Meir]

נכתב במקור על ידי kfir_dnd

בכל מקרה הפונקציה שלך מורידה את הכל חוץ מ <שם התג> וזה לא מה שאני צריך... אני צריך שאם זה תג מאושר הכל ישאר...

http://lives.co.il/kfir.php