Недостаточная фильтрация входящих данных » X-Coders Club – все для DLE (дле), модули для dle, шаблоны dle, хаки и исправления dle, новости интернета

Разделы

Прочее

Новости от Яndexa

В США открылся саммит "Большой восьмерки"

Премьер-министр РФ Дмитрий Медведев в пятницу прибывает с визитом в США для участия в саммите стран "большой восьмерки", который пройдет в американском Кэмп-Дэвиде. На предстоящей встрече лидеров G8 ......

подробнее >>

К горящему складу прилетел губернатор Приморья

Взрывы на горящем складе боеприпасов в Приморье прекратились, сообщает РИА Новости. Начальник пресс-службы Восточного военного округа подполковник Александр Гордеев какие-либо комментарии давать пока ......

подробнее >>

Назначение Холманских полпредом стало неожиданностью для политологов

Уральские эксперты, опрошенные РИА Новости, признают, что не ожидали назначения полпредом главы государства в УФО рабочего из Нижнего Тагила Игоря Холманских, хотя и не исключали, что его ждет ......

подробнее >>

Друзья

В нашей танцевальной студии преподают лучшие представители танцевального сообщества Москвы

Международные перевозки грузов, доставка грузов из Македонии. таможенное оформление сборных грузов.

Недостаточная фильтрация входящих данных

Проблема: Недостаточная фильтрация входящих данных.

Злоумышленник может получить информацию о пути установки скрипта

Ошибка в версии: 6.7 и более ранние. Иногда проходит на 7.0, с чем связано не пойму, скорее всего зависит от настроек вывода ошибок.

Степень опасности: низкая

Ручное исправление:

/engine/modules/functions.php

Находим:

function check_xss () {

    $url = html_entity_decode(urldecode($_SERVER['QUERY_STRING']));

    if ($url) {

        if ((strpos($url, '<') !== false) ||
            (strpos($url, '>') !== false) ||
            (strpos($url, '"') !== false) ||
            (strpos($url, './') !== false) ||
            (strpos($url, '../') !== false) ||
            (strpos($url, '\'') !== false) ||
            (strpos($url, '.php') !== false)
           )
        {
            if ($_GET['do'] != "search" OR $_GET['subaction'] != "search")    die("Hacking attempt!");
        }

    }

}

Меняем на:

function check_xss () {

    $url = html_entity_decode(urldecode($_SERVER['QUERY_STRING']));

    if ($url) {

        if ((strpos($url, '<') !== false) ||
            (strpos($url, '>') !== false) ||
            (strpos($url, '"') !== false) ||
            (strpos($url, './') !== false) ||
            (strpos($url, '../') !== false) ||
            (strpos($url, '\'') !== false) ||
            (strpos($url, '[') !== false) ||
            (strpos($url, ']') !== false) ||
            (strpos($url, '{') !== false) ||
            (strpos($url, '}') !== false) ||
            (strpos($url, '.php') !== false)
           )
        {
            if ($_GET['do'] != "search" OR $_GET['subaction'] != "search")    die("Hacking attempt!");
        }

    }

}

Те же манипуляции и с файлом /engine/inc/functions.inc.php

Написал