POST i textarea - zmienna nieustawiona

pytanie zadane 29 października 2017 w PHP przez qwerty723446 Obywatel (1,750 p.)
zamknięte 1 listopada 2017 przez qwerty723446

Witam.

Napotkałem ciekawy problem - próbowałem wysłać tekst wpisany w pole <textarea></textarea>, jednak nie był on wykryty jako ustawiony w drugim pliku, który to odbierał. Próbowałem różnych sposobów, ale nic nie działało.

HTML:

<form action="add.php" method="POST">
<textarea name="message" rows="100" cols="200"></textarea>
</form>

PHP:

<?php
session_start();


if(isset($_POST['message']))
{
    
    $mess = $_POST['message'];
    require_once "basedata.php";

$connection = @new mysqli($host, $db_user, $db_password, $db_name);
if($connection->connect_errno!=0)
{

echo "Error ".$connection->connect_errno;    
    
}else
{
 $mysql = "UPDATE messages SET tekst='$mess'";
 $connection->query($mysql);
 $connection->close(); 
}
}else
{
    echo "Not set";
    
}
?>

Za każdym razem PHP zwraca napis Not set

komentarz zamknięcia: Brak prawidłowej odpowiedzi

1 odpowiedź

odpowiedź 29 października 2017 przez event15 Szeryf (93,790 p.)

require_once "basedata.php";

Wywal bezpośrednio pod session_start()

I natychmiast wywal małpę z kodu. Nie rozumiesz czym jest i wykorzystujesz ją w najgorszym miejscu w jakim można.

komentarz 29 października 2017 przez event15 Szeryf (93,790 p.)

Poza tym kod jest podatny na XSS i SQLInjection.

komentarz 29 października 2017 przez CzikaCarry Szeryf (75,340 p.)

Do tego jeszcze CSRF i session hijacking, czego chcieć więcej :)

komentarz 29 października 2017 przez qwerty723446 Obywatel (1,750 p.)

Opcja ma być dostępna tylko dla zalogowanych i zaufanych użytkowników, więc takimi zabezpieczeniami nie muszę się przejmować. Niestety po podanych zmianach, serwer nadal zwraca napis Not set

komentarz 29 października 2017 przez CzikaCarry Szeryf (75,340 p.)

No ale dzięki SQL injection będą mogły się tam dostać niezaufane osoby :(

komentarz 29 października 2017 przez qwerty723446 Obywatel (1,750 p.)

System logowania ma wbudowaną ochronę przed tym

komentarz 30 października 2017 przez event15 Szeryf (93,790 p.)

Chyba sobie jaja robisz. Gówno Ci to daje, czy SQLInjection jest przed logowaniem czy po logowaniu. Jeśli system jest dziurawy, to wszystkie dane wszystkich użytkowników które posiadasz są zagrożone a Ty odpowiadasz prawnie za wyciek tych danych - finansowo również, jeśli ktoś Cię pozwie.

komentarz 30 października 2017 przez qwerty723446 Obywatel (1,750 p.)

Dobrze, przyjąłem ostrzeżenie, ale trochę odbiegliśmy od tematu. Masz jakieś sugestie co do przedstawionego w temacie problemu (poprzedni nie zadziałał)?