get - trouble using preg_match and directory names with $_GET using PHP -


मेरे पास एक स्क्रिप्ट है जो $ _GET का उपयोग निर्देशिका नामों को पुनः प्राप्त करने के लिए करता है और एक फ़ोल्डर में फ़ाइलों को पुनः प्राप्त करने के लिए URL में जोड़ देता है webroot।

यहां मेरा वर्तमान कोड है: 

  & lt; php $ getdir = $ _GET ['dir']; $ Getdoctype = $ _GET ['doctype']; $ Dir = "/ var / www / अपलोड / $ getdir / $ getdoctype"; $ Subdir1 = स्कैंडर ($ dir); / * यह समारोह डायर्स / / $ सूची = array_diff ($ subdir1, सरणी ("।", "..", "index.php")); गूंज "& lt; ol & gt;"; विदेशी मुद्रा ($ फाइल के रूप में $ की सूची) {यदि (! आईएसआईडी ($ फ़ाइल)) गूंजती है "लियू; ली & gt; & lt; a href = 'https: //example.ca/private/download_files.php?dir = $ getdir और amp; doctype = $ getdoctype & amp; फ़ाइल नाम = $ फ़ाइल '& gt; $ फ़ाइल & lt; / a & gt; & lt; / li & gt; \ n "; } गूंज "& lt; / ol & gt;"; ? & Gt;

मैं समझता हूं कि $ _GET का उपयोग इस स्थिति में बहुत असुरक्षित है इसलिए मैं अपने $ _GET चर को एक preg_match फ़ंक्शन के साथ साफ़ करना चाहता हूं। मुझे इस फ़ंक्शन को इस बोर्ड पर एक उपयोगकर्ता से दिया गया है और इसे काम करने के लिए प्रतीत नहीं हो सकता है।

यहां फ़ंक्शन के साथ मेरा कोड है: 

  & lt ;? Php $ getdir = $ _GET ['dir']; $ Getdoctype = $ _GET ['doctype']; / / <[A-zA-Z0- 9] + $ / (* / $ [एक- zA-Z0- 9] + $ / ', $ getdir) ||! Preg_match (' / ^ [a-zA-Z0-9] ', $ Getdoctype)) {मर (' खराब पैरामीटर! '); } $ Dir = "/ var / www / uploads / $ getdir / $ getdoctype"; $ Subdir1 = स्कैंडर ($ dir); / * यह फ़ंक्शन, डायर्स * / $ list = array_diff ($ subdir1, ऐरे ("।", "..", "index.php")); गूंज "& lt; ol & gt;"; विदेशी मुद्रा ($ फाइल के रूप में $ की सूची) {यदि (! आईएसआईडी ($ फ़ाइल)) गूंजती है "लियू; ली & gt; & lt; a href = 'https: //example.ca/private/download_files.php?dir = $ getdir और amp; doctype = $ getdoctype & amp; फ़ाइल नाम = $ फ़ाइल '& gt; $ फ़ाइल & lt; / a & gt; & lt; / li & gt; \ n "; } गूंज "& lt; / ol & gt;"; ? & Gt;

प्राप्त चर निर्देशिका नामों में रिक्त स्थान रख सकते हैं। इसके अलावा % 20 एक http भाग्य स्ट्रिंग है जिसे भी स्वीकार किया जा सकता है। मैं सिर्फ हैकर अपने सर्वर में नहीं मिलना चाहता

मैं इस कार्यान्वयन में $ _GET के विकल्प भी स्वीकार करूँगा यदि आपके पास कोई है।

डायरेक्टरी का नाम regex के अनुसार a-zA-z से शुरू होना चाहिए और space, _, - भी मान्य 

  / ////////////////////////////////////////// स्पष्टीकरण // \ s : नए फ़ोल्डर // \ _: new_folder // \ -: new-folder if (! Preg_match ('/ ^ [a-zA-Z] + [a-zA-Z0- 9 \ s \ _ \ -] + $ / ', Urldecode ($ getdir)) || | preg_match (' / ^ [a-zA-Z] + [a-zA-Z0- 9 \ s \ _ \ -] + $ / ', यूआरल्डएक्डेड ($ मिलर एक्टो) )) {मर ('खराब पैरामीटर!'); }

सीखना संसाधन:


Comments

Post a Comment

Popular posts from this blog

scala - Play Framework - how to bind form to a session field -

Is there any way, I can get some parameters from the header, cookies (log in userId in my case) , And then apply it in a form which I know who will deposit the ticket? SupportForm supportForm: form [supportTicket] = form (mapping ("question" -> text, "priority" -> text) (apply support ticket. (HelpText.update) What are the good practices here? What is the call to apply the request, when I can use it (and also a good practice?) Edit An issue, absolutely deceiving anyone if I were to create a hidden area with this value. It could Ript, but the issue may be re-used in any way to verify and return the form, it can not be sure how it ....
Read more

Django Celery - running scheduled tasks -

After several hours on this without the result, I really need help I'm able to run Django-Celery with my Django app and I scheduled tasks on it: dragon manage.py celeryd -E -B -l INFO Now it is time to produce and here it is that my pain begins. I have configured the cellarid as the daemon, it works, but scheduled tasks will not work. So I added -b to CELERYD_OPTS . My tasks are now run as scheduled, but these are the boring lines on my logs: [2014-02-17 22: 37: 30,738: debuts / main process] Beat: 5.00 Waking in seconds I just want to delete that line from my logs! I did not even understand what it meant. So I had configured the Selerbeat daemon, thinking it would be a cleaner and suggest a solution to the production environment. Unfortunately, when I stop the celerybeat daemon, it creates a log and a PID file but scheduled tasks do not work. Info / main process] green: ... [2014-02-17 19: 15: 41,921: information / main process] write entries. .. [...
Read more

perl - 'Unquoted string ".." may clash with future reserved word' but only when package is used -

I ran into this problem while trying to reactor one of my modules in the object-oriented code. I compressed it down to the bottom. Here is the list of 3 files I am using: _mypkg.pm: Usage _debug; Use _debug dprint; Package mypkg; Sub New {my ($ class,% args) = @_; My $ self = blessing {}, $ square; DPPrint "PKG \ n"; Return $ self; } 1; _debug.pm: # package mydebug; # Getting this line gets an error 500 $ my bprint = ""; Sub print_now {print "print:". $ Bprint; $ Bprint = "";} Subprint {$ bprint. = "@_"; } Subdeprint {bprint @_; } 1; testfile.cgi: #! / Usr / bin / perl is required '_mypkg.pm'; #require '_debug.pm'; #use_debug; Use _debug dprint; Print "content-type: text / html \ n \ n"; DePrint "First & lt; br & gt; \ n"; & Amp; Print_now; My $ somepkg = mypkg- & gt; new (); DePrint "Second & lt; br & gt; \ n"; & Amp; Print_now; As they a...
Read more