get - trouble using preg_match and directory names with $_GET using PHP -


मेरे पास एक स्क्रिप्ट है जो $ _GET का उपयोग निर्देशिका नामों को पुनः प्राप्त करने के लिए करता है और एक फ़ोल्डर में फ़ाइलों को पुनः प्राप्त करने के लिए URL में जोड़ देता है webroot।

यहां मेरा वर्तमान कोड है: 

  & lt; php $ getdir = $ _GET ['dir']; $ Getdoctype = $ _GET ['doctype']; $ Dir = "/ var / www / अपलोड / $ getdir / $ getdoctype"; $ Subdir1 = स्कैंडर ($ dir); / * यह समारोह डायर्स / / $ सूची = array_diff ($ subdir1, सरणी ("।", "..", "index.php")); गूंज "& lt; ol & gt;"; विदेशी मुद्रा ($ फाइल के रूप में $ की सूची) {यदि (! आईएसआईडी ($ फ़ाइल)) गूंजती है "लियू; ली & gt; & lt; a href = 'https: //example.ca/private/download_files.php?dir = $ getdir और amp; doctype = $ getdoctype & amp; फ़ाइल नाम = $ फ़ाइल '& gt; $ फ़ाइल & lt; / a & gt; & lt; / li & gt; \ n "; } गूंज "& lt; / ol & gt;"; ? & Gt;

मैं समझता हूं कि $ _GET का उपयोग इस स्थिति में बहुत असुरक्षित है इसलिए मैं अपने $ _GET चर को एक preg_match फ़ंक्शन के साथ साफ़ करना चाहता हूं। मुझे इस फ़ंक्शन को इस बोर्ड पर एक उपयोगकर्ता से दिया गया है और इसे काम करने के लिए प्रतीत नहीं हो सकता है।

यहां फ़ंक्शन के साथ मेरा कोड है: 

  & lt ;? Php $ getdir = $ _GET ['dir']; $ Getdoctype = $ _GET ['doctype']; / / <[A-zA-Z0- 9] + $ / (* / $ [एक- zA-Z0- 9] + $ / ', $ getdir) ||! Preg_match (' / ^ [a-zA-Z0-9] ', $ Getdoctype)) {मर (' खराब पैरामीटर! '); } $ Dir = "/ var / www / uploads / $ getdir / $ getdoctype"; $ Subdir1 = स्कैंडर ($ dir); / * यह फ़ंक्शन, डायर्स * / $ list = array_diff ($ subdir1, ऐरे ("।", "..", "index.php")); गूंज "& lt; ol & gt;"; विदेशी मुद्रा ($ फाइल के रूप में $ की सूची) {यदि (! आईएसआईडी ($ फ़ाइल)) गूंजती है "लियू; ली & gt; & lt; a href = 'https: //example.ca/private/download_files.php?dir = $ getdir और amp; doctype = $ getdoctype & amp; फ़ाइल नाम = $ फ़ाइल '& gt; $ फ़ाइल & lt; / a & gt; & lt; / li & gt; \ n "; } गूंज "& lt; / ol & gt;"; ? & Gt;

प्राप्त चर निर्देशिका नामों में रिक्त स्थान रख सकते हैं। इसके अलावा % 20 एक http भाग्य स्ट्रिंग है जिसे भी स्वीकार किया जा सकता है। मैं सिर्फ हैकर अपने सर्वर में नहीं मिलना चाहता

मैं इस कार्यान्वयन में $ _GET के विकल्प भी स्वीकार करूँगा यदि आपके पास कोई है।

डायरेक्टरी का नाम regex के अनुसार a-zA-z से शुरू होना चाहिए और space, _, - भी मान्य 

  / ////////////////////////////////////////// स्पष्टीकरण // \ s : नए फ़ोल्डर // \ _: new_folder // \ -: new-folder if (! Preg_match ('/ ^ [a-zA-Z] + [a-zA-Z0- 9 \ s \ _ \ -] + $ / ', Urldecode ($ getdir)) || | preg_match (' / ^ [a-zA-Z] + [a-zA-Z0- 9 \ s \ _ \ -] + $ / ', यूआरल्डएक्डेड ($ मिलर एक्टो) )) {मर ('खराब पैरामीटर!'); }

सीखना संसाधन:


Comments

Post a Comment

Popular posts from this blog

python - rpy2 import is not working -

When I try to import rpy2, I get an error. Here is the code and error & gt; & Gt; & Gt; Import Traceback (Most Recent Call Final): File "C: \ PF \ WinPython-64bit-3.3.3.3 \ python-3.3.3.amd64 \ lib \ site-packages \ IPython \ core \ interactiveshell.py", line 2828 In the file, "ipython-input-148-c258a0f70d44" gt; Row 1, & lt; modules & gt; Import pandas.rpy.common file in runcode ajl (code_obj, self.user_global_ns, self.user_ns) file " C: \ PF \ WinPython-64bit-3.3.3.3 \ python-3.3.3.amd64 \ lib \ site-packages \ pandas \ rpy \ common.py ", line 14, in & lt; modules & gt; Rpy2.robjects .packages Import Import Import Import: A module name 'rpy2' What could be the problem? I Python Version 3.3.3 and PANDAS Version 0.13.1 Edit Tried to install rpy2 separately I get an error using python setup.py install which is not the module popen3 in OS . Running the site of Christophe Gohalke properly insta...
Read more

javascript - How to get MySQL query result returned using $.ajax -

I'm trying to update is a JavaScript, when you hover over an image, a devi Floats near your mouse, this information is stored in an .js file as an array, for example. text [0] = ["image 1", "data1"] text [1] = ["image2", "data2"] In the past, if the array change / add / delete the data it will need to upload a new copy .js file, if the data was attached / deleted, then the new image needs a change in .dwt file Which can update each file using the .dwt file as the main template, which can result in 20+ pages They are uploaded I thought that I can automate this record by using the database and using the database if they are active and use only mysql queries which are active, such a black app The database can be added and disabled, thus eliminating the need for every soft upload of the file. To do this, I had planned to store the information in the database and create the above array based on the results, by researching how to us...
Read more

javascript - How to use the code plugin with popcornjs -

I'm making my first move with popcornes and I'm trying to use it, but to make sure Not to do this I gave an example, and found the video to play, but I can not use the plugin index.html: & lt; Script src = "bower_components / popcornjs / popcorn.js" & gt; & Lt; / Script & gt; & Lt; Script src = "bower_components / popcornjs / wrappers / common / popcorn.mediaElementProto.js" & gt; & Lt; / Script & gt; & Lt; Script src = "bower_components / popcornjs / wrappers / youtube / popcorn.HTMLYouTubeVideoElement.js" & gt; & Lt; / Script & gt; & Lt; Script src = "bower_components / popcornjs / plugins / code / popcorn.code.js" & gt; & Lt; / Script & gt; Media.js $ scope.player = popcorn.HTMLYouTubeVideoElement ("#media-player"); $ Scope.player src = "http://www.youtube.com/watch?v=DaN2Y2-wNSs"; // The following lines failed // $ scope.player.c...
Read more