hide url

[majoran]

با سلام به دوستان گرامی
آقا من وقتی یک ارجا به فرم دیگه دارم و می خوام اطلاعاتم رو از همین فرم با خودم به فرم جدید ببرم به این صورت میشه http://localhost/site/dars/edit_post.php?id=24
حالا اگه من بخوام از قسمت ?id=24 (http://localhost/site/dars/edit_post.php?id=24) فاکتور گرفته بشه باید چیکار کنم .

[Bahram0110]

منظورتونت از فاکتور گرفته بشه چیه؟؟؟؟

اگه می خوای مقدار ID رو بدست بیاری باید از کد زیر استفاده کنی



if (!empty($_GET['id'])) {
$id = $_GET['id'];
}

[majoran]

منظور من اینه که کاربر من نفهمه مقدار ارسالیid من چنده یعنی در نوار آدرس فقط مسیر اصلی فایل رو نمایش بدم
http://localhost/site/dars/edit_post.php?id=24
بشه
http://localhost/site/dars/edit_post.php
و همه کار ها هم درست پیش بره

[Bahram0110]

از $_POST استفاده کن
(تکست باکس مخفی)

[Bahram0110]

یا اینکه می تونی از Session استفاده کنی...

[moohssenn]

البته میتونید پارامتر ارسالی را کد کرده و ارسال کنید تا اگه دیده شدم به درد نخوره

[majoran]

از رااهنمایی هاتون متشکرم ولی اگه لظف کنید یه مثال کامل برام بزنید منو شرمنده خودتون کردید آخه این هکر ها رو اوردند به sql injection خیلی برام مهمه که چطوری محدودیت ایجاد کنم

[محمد.مولانا]

sql injection رو می تونی با راه های دیگه ای هم مهار کنی.
مثلا کد زیر رو در یه فایل جا بده و در تمام صفحات اون فایل رو اینکلود کن:


foreach ($_GET as $check_url) {
if ((eregi("<[^>]*script*\"?[^>]*>", $check_url)) || (eregi("<[^>]*object*\"?[^>]*>", $check_url)) ||
(eregi("<[^>]*iframe*\"?[^>]*>", $check_url)) || (eregi("<[^>]*applet*\"?[^>]*>", $check_url)) ||
(eregi("<[^>]*meta*\"?[^>]*>", $check_url)) || (eregi("<[^>]*style*\"?[^>]*>", $check_url)) ||
(eregi("<[^>]*form*\"?[^>]*>", $check_url)) || (eregi("\([^>]*\"?[^)]*\)", $check_url)) ||
(eregi("\"", $check_url))) {
die ();
}
}
unset($check_url);

به همین راحتی

[Mah]

سلام .
دوست من کافیست متد ارسال پارامترهای خود را در فرمی که برای سرور می فرستی post قرار دهی . در سمت سرور نیز همانطور که آقا بهرام گفت از $_POST برای گرفتن مقادیر فرم استفاده کنی .

sample.htm


<form metod='post' action='test1.php'>
<input type=text value='test' name='txtInput' />

<input type=submit>

</form>
test.php


echo $_POST['txtInput'];

برای جلوگیری از Injection نیز کد آقای مولانا مناسب است .
ضمن اینکه می توانی در سمت کلاینت از ورود کارکترهای خطرناک مثل ' " ; / */ و... جلوگیری کنید .

موفق باشید .

[majoran]

آقا دمتون گرم آخر هرچی مرامین شما ها خیلی لطف کردید و ممنون

[Bahram0110]

سلام .
ضمن اینکه می توانی در سمت کلاینت از ورود کارکترهای خطرناک مثل ' " ; / */ و... جلوگیری کنید .

کسی که بخواد به سایت حمله کنه! نیازی به فرم اصلی ما نداره، خودش یه فرم جدید می سازه
پس هیچ وقت به این روش تکیه نکن
همیشه تو سمت سرور ورودی رو چک کن

[Mah]

سلام .
Bahram0110 (http://barnamenevis.org/forum/member.php?u=14281) : شما درست می فرمائید .
من همیشه سعی می کنم ، تمامی راه حل ها را ارائه دهم .

ما نمی توانیم یک سیستم را 100% امن نمائیم . بلکه با ایجاد موانع تاخیر در نفوذ ایجاد می کنیم .
اولین مانع نیز چک در سمت کلاینت است تا کمی از سرعت هکر کاسته شود (خود هکر مجبور به نوشتن کمی کد شود .)

موفق باشید .