get - trouble using preg_match and directory names with $_GET using PHP -


मेरे पास एक स्क्रिप्ट है जो $ _GET का उपयोग निर्देशिका नामों को पुनः प्राप्त करने के लिए करता है और एक फ़ोल्डर में फ़ाइलों को पुनः प्राप्त करने के लिए URL में जोड़ देता है webroot।

यहां मेरा वर्तमान कोड है: 

  & lt; php $ getdir = $ _GET ['dir']; $ Getdoctype = $ _GET ['doctype']; $ Dir = "/ var / www / अपलोड / $ getdir / $ getdoctype"; $ Subdir1 = स्कैंडर ($ dir); / * यह समारोह डायर्स / / $ सूची = array_diff ($ subdir1, सरणी ("।", "..", "index.php")); गूंज "& lt; ol & gt;"; विदेशी मुद्रा ($ फाइल के रूप में $ की सूची) {यदि (! आईएसआईडी ($ फ़ाइल)) गूंजती है "लियू; ली & gt; & lt; a href = 'https: //example.ca/private/download_files.php?dir = $ getdir और amp; doctype = $ getdoctype & amp; फ़ाइल नाम = $ फ़ाइल '& gt; $ फ़ाइल & lt; / a & gt; & lt; / li & gt; \ n "; } गूंज "& lt; / ol & gt;"; ? & Gt;

मैं समझता हूं कि $ _GET का उपयोग इस स्थिति में बहुत असुरक्षित है इसलिए मैं अपने $ _GET चर को एक preg_match फ़ंक्शन के साथ साफ़ करना चाहता हूं। मुझे इस फ़ंक्शन को इस बोर्ड पर एक उपयोगकर्ता से दिया गया है और इसे काम करने के लिए प्रतीत नहीं हो सकता है।

यहां फ़ंक्शन के साथ मेरा कोड है: 

  & lt ;? Php $ getdir = $ _GET ['dir']; $ Getdoctype = $ _GET ['doctype']; / / <[A-zA-Z0- 9] + $ / (* / $ [एक- zA-Z0- 9] + $ / ', $ getdir) ||! Preg_match (' / ^ [a-zA-Z0-9] ', $ Getdoctype)) {मर (' खराब पैरामीटर! '); } $ Dir = "/ var / www / uploads / $ getdir / $ getdoctype"; $ Subdir1 = स्कैंडर ($ dir); / * यह फ़ंक्शन, डायर्स * / $ list = array_diff ($ subdir1, ऐरे ("।", "..", "index.php")); गूंज "& lt; ol & gt;"; विदेशी मुद्रा ($ फाइल के रूप में $ की सूची) {यदि (! आईएसआईडी ($ फ़ाइल)) गूंजती है "लियू; ली & gt; & lt; a href = 'https: //example.ca/private/download_files.php?dir = $ getdir और amp; doctype = $ getdoctype & amp; फ़ाइल नाम = $ फ़ाइल '& gt; $ फ़ाइल & lt; / a & gt; & lt; / li & gt; \ n "; } गूंज "& lt; / ol & gt;"; ? & Gt;

प्राप्त चर निर्देशिका नामों में रिक्त स्थान रख सकते हैं। इसके अलावा % 20 एक http भाग्य स्ट्रिंग है जिसे भी स्वीकार किया जा सकता है। मैं सिर्फ हैकर अपने सर्वर में नहीं मिलना चाहता

मैं इस कार्यान्वयन में $ _GET के विकल्प भी स्वीकार करूँगा यदि आपके पास कोई है।

डायरेक्टरी का नाम regex के अनुसार a-zA-z से शुरू होना चाहिए और space, _, - भी मान्य 

  / ////////////////////////////////////////// स्पष्टीकरण // \ s : नए फ़ोल्डर // \ _: new_folder // \ -: new-folder if (! Preg_match ('/ ^ [a-zA-Z] + [a-zA-Z0- 9 \ s \ _ \ -] + $ / ', Urldecode ($ getdir)) || | preg_match (' / ^ [a-zA-Z] + [a-zA-Z0- 9 \ s \ _ \ -] + $ / ', यूआरल्डएक्डेड ($ मिलर एक्टो) )) {मर ('खराब पैरामीटर!'); }

सीखना संसाधन:


Comments

Post a Comment

Popular posts from this blog

javascript - How to use the code plugin with popcornjs -

I'm making my first move with popcornes and I'm trying to use it, but to make sure Not to do this I gave an example, and found the video to play, but I can not use the plugin index.html: & lt; Script src = "bower_components / popcornjs / popcorn.js" & gt; & Lt; / Script & gt; & Lt; Script src = "bower_components / popcornjs / wrappers / common / popcorn.mediaElementProto.js" & gt; & Lt; / Script & gt; & Lt; Script src = "bower_components / popcornjs / wrappers / youtube / popcorn.HTMLYouTubeVideoElement.js" & gt; & Lt; / Script & gt; & Lt; Script src = "bower_components / popcornjs / plugins / code / popcorn.code.js" & gt; & Lt; / Script & gt; Media.js $ scope.player = popcorn.HTMLYouTubeVideoElement ("#media-player"); $ Scope.player src = "http://www.youtube.com/watch?v=DaN2Y2-wNSs"; // The following lines failed // $ scope.player.c...
Read more

python - rpy2 import is not working -

When I try to import rpy2, I get an error. Here is the code and error & gt; & Gt; & Gt; Import Traceback (Most Recent Call Final): File "C: \ PF \ WinPython-64bit-3.3.3.3 \ python-3.3.3.amd64 \ lib \ site-packages \ IPython \ core \ interactiveshell.py", line 2828 In the file, "ipython-input-148-c258a0f70d44" gt; Row 1, & lt; modules & gt; Import pandas.rpy.common file in runcode ajl (code_obj, self.user_global_ns, self.user_ns) file " C: \ PF \ WinPython-64bit-3.3.3.3 \ python-3.3.3.amd64 \ lib \ site-packages \ pandas \ rpy \ common.py ", line 14, in & lt; modules & gt; Rpy2.robjects .packages Import Import Import Import: A module name 'rpy2' What could be the problem? I Python Version 3.3.3 and PANDAS Version 0.13.1 Edit Tried to install rpy2 separately I get an error using python setup.py install which is not the module popen3 in OS . Running the site of Christophe Gohalke properly insta...
Read more

Python, converting png to gif using ImageMagick -

I am using Python 2.7.6, I had a problem converting some PNG files into GIF (an animation To create) os.system ("Convert-dated 1-Digiage background + page" + str (output_dir) + "/*.png -loop 0" + str (output_dir) + "/ Animation GIF") This was the error on which I have Parametre non welde - 1 Enough to go Without error, this is only an estimate, but ... If there is an empty space or quote in output_dir or other special characters, to avoid or quote you Nothing is doing, so your command line will look something like this: Convert - Day 1-digest background + page ~ / My image / *. Png -loop 0 ~ / My Photos / Animation.gif There may be a completely valid argument for sending ~ / my for input, and Pictures / *. PNG is to solve a full bank Additional relative path that converts is ready to deal with additional inputs, but then you have to ~ / My , which is not valid because it has something similar to the input, and some additio...
Read more