[GRATIS] Nieuws/blog systeem [PHP] - Pagina 2

Lid · Topicstarter

Berichten: 1.284
Reputatie: 0
Punten: 0,00

Lid sinds: 2012
Laatst gezien: 12 jun 2025

27 jun 2013, 18:40

Jellesch schreef:
Eerdere citaten tonen
Mounssif schreef:
Heb niks gezegt dat ik de layout heb gemaakt, was een gratis template en heb hem geëdit + de systeem heb ik wel 100% zelf gemaakt
toevoeging op 27 juni 2013, 18:23:57:
Eerdere citaten tonen
Dyllaann schreef:
uhu..

// Missing Information error
Sorry, iemand had de account opnieuw geregistreerd daarom buggde hij ik zal het fixen dat je niet 2x kan registreren op de zelfde naam! sorry mijn fout

En de copyrights weghalen?
Dat mag dus niet

Met jullie gezeur altijd, nu geen template nou blij

Dyllaann

Lid

Berichten: 573
Reputatie: 0
Punten: 0,00

Lid sinds: 2011
Laatst gezien: 2 apr 2022

27 jun 2013, 18:50

#17

Jellesch schreef:
Eerdere citaten tonen
Mounssif schreef:
Heb niks gezegt dat ik de layout heb gemaakt, was een gratis template en heb hem geëdit + de systeem heb ik wel 100% zelf gemaakt
toevoeging op 27 juni 2013, 18:23:57:
Eerdere citaten tonen
Dyllaann schreef:
uhu..

// Missing Information error
Sorry, iemand had de account opnieuw geregistreerd daarom buggde hij ik zal het fixen dat je niet 2x kan registreren op de zelfde naam! sorry mijn fout

En de copyrights weghalen?
Dat mag dus niet

Jeez, dit is enkelt een screenshot van zijn live demo -__-.

One2xs

Bot

Berichten: 93.699
Reputatie: 0
Punten: 1,27

Lid sinds: 2025
Laatst gezien: 29 jun 2025

27 jun 2013, 22:29

#18

Mounssif schreef:
Eerdere citaten tonen
Jellesch schreef:
Eerdere citaten tonen
Mounssif schreef:
Heb niks gezegt dat ik de layout heb gemaakt, was een gratis template en heb hem geëdit + de systeem heb ik wel 100% zelf gemaakt
toevoeging op 27 juni 2013, 18:23:57:
Eerdere citaten tonen
Dyllaann schreef:
uhu..

// Missing Information error
Sorry, iemand had de account opnieuw geregistreerd daarom buggde hij ik zal het fixen dat je niet 2x kan registreren op de zelfde naam! sorry mijn fout
En de copyrights weghalen?
Dat mag dus niet

Met jullie gezeur altijd, nu geen template nou blij

Jep nu ben ik blij

One2xs

Bot

Berichten: 93.699
Reputatie: 0
Punten: 1,27

Lid sinds: 2025
Laatst gezien: 29 jun 2025

27 jun 2013, 22:33

#19

Waarom probeerde je het script Engels te maken terwijl je de taal niet beheerst?
Articel moet natuurlijk article zijn..

Mounssif

Lid · Topicstarter

Berichten: 1.284
Reputatie: 0
Punten: 0,00

Lid sinds: 2012
Laatst gezien: 12 jun 2025

28 jun 2013, 01:02

#20

Jochems schreef:
Waarom probeerde je het script Engels te maken terwijl je de taal niet beheerst?

Articel moet natuurlijk article zijn..

Sorry, poste hem eerst op een engelse forum

Thom

Lid

Berichten: 10.654
Reputatie: 0
Punten: 0,00

Lid sinds: 2010
Laatst gezien: 16 sep 2020

28 jun 2013, 01:10

#21

Mounssif schreef:
Eerdere citaten tonen
Jochems schreef:
Waarom probeerde je het script Engels te maken terwijl je de taal niet beheerst?
Articel moet natuurlijk article zijn..

Sorry, poste hem eerst op een engelse forum

nog erger

One2xs

Bot

Berichten: 93.699
Reputatie: 0
Punten: 1,27

Lid sinds: 2025
Laatst gezien: 29 jun 2025

28 jun 2013, 17:08

#22

Zijn jullie er klaar voor???

Fijn! Daar gaan we dan!

Dit script is dus super lek, zon lek waarvoor je je loodgieter moet bellen.

[COLOR= #0000BB]<?php

$category[/COLOR] [COLOR= #007700]=[/COLOR] htmlentities[COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]category[/COLOR][COLOR= #007700]]);[/COLOR]

?>

Serieus? Gebruik geen htmlentities als je iets insert in de table, dit doe je enkel bij de output. Je wilt je db-data zo puur mogelijk houden. Tevens ook lek tegen SQL injection.

We kruipen nu wat dieper in die stinkhole die je gereleased hebt...

Wat grappig!

[COLOR= #0000BB]<?php[/COLOR]
[COLOR= #FF8000]// Check om te kijken of het lid bestaat[/COLOR]

[COLOR= #0000BB]$sql[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #DD0000]"SELECT COUNT(*) num FROM users WHERE username = "[/COLOR] [COLOR= #007700].[/COLOR] [URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$username[/COLOR][COLOR= #007700]) .[/COLOR] [COLOR= #DD0000]""[/COLOR][COLOR= #007700];[/COLOR]

[COLOR= #FF8000]// De gebruiker aanmaken[/COLOR]
[COLOR= #0000BB]$query[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]query[COLOR= #007700]([/COLOR][COLOR= #DD0000]"INSERT INTO user (username, password, date) VALUES($username, $password, $date)"[/COLOR][COLOR= #007700]);[/COLOR]

Om te kijken of het lid bestaat beveilig je jezelf wel tegen SQL injection, maar bij het aanmaken niet. Beetje flauw.

Oh maar! In login.php gebruik je dit keer niet mysql_real_escape_string maar dat gedrocht van strip_tags in plaats.

[COLOR= #0000BB]<?php

$user[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/strip_tags"]strip_tags[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$user[/COLOR][COLOR= #007700]);[/COLOR]

?>

Even verder gaan... logout.php is waarschijnlijk het beste deel van het script (grotendeels omdat er maar 7 lijnen code zijn en dat je daarom weinig fout kunt doen). Maar het bevat nog steeds fouten. Misschien is het beter om te kijken of het lid wel eerst is ingelogd alvorens je het lid uitlogt. Kleine tip.

En in new_post.php behandel je dan wel weer SQL injection.

[COLOR= #0000BB]<?php

$title[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]real_escape_string[COLOR= #007700]([/COLOR][COLOR= #0000BB]$title[/COLOR][COLOR= #007700]);[/COLOR]
[COLOR= #0000BB]$body[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]real_escape_string[COLOR= #007700]([/COLOR][COLOR= #0000BB]$body[/COLOR][COLOR= #007700]);[/COLOR]

?>

Er is bijna licht aan het einde van de tunnel...

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/while"]while[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$row[/COLOR] [COLOR= #007700]=[/COLOR] mysqli_fetch_array[COLOR= #007700]([/COLOR][COLOR= #0000BB]$result[/COLOR][COLOR= #007700]))
{[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<tr>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<td><h4>"[/COLOR] [COLOR= #007700].[/COLOR] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]username[/COLOR][COLOR= #007700]] .[/COLOR] [COLOR= #DD0000]"</h4></td>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<td><h4>"[/COLOR] [COLOR= #007700].[/COLOR] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]date[/COLOR][COLOR= #007700]] .[/COLOR] [COLOR= #DD0000]"</h4></td>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"</tr>"[/COLOR][COLOR= #007700];
}[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"</table>"[/COLOR][COLOR= #007700];[/COLOR]
?>

Hmmm... hier zou je dan htmlentities() moeten gebruiken en niet bij het registreren want....

Quote:
Gebruik geen htmlentities als je iets insert in de table, dit doe je enkel bij de output. Je wilt je db-data zo puur mogelijk houden.

Verder heb ik nog een foutje gevonden:

[COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #007700]([/COLOR][COLOR= #0000BB]$row[/COLOR][COLOR= #007700]->[/COLOR]body[COLOR= #007700]);[/COLOR] ?>


[COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<br>Posted on <i>"[/COLOR][COLOR= #007700].[/COLOR]htmlentities[COLOR= #007700]([/COLOR][COLOR= #0000BB]$test[/COLOR][COLOR= #007700]->[/COLOR]posted[COLOR= #007700]).[/COLOR][COLOR= #DD0000]"</i>"[/COLOR][COLOR= #007700];[/COLOR] ?>

Moet die $test niet $row zijn? Komt er van als je error reporting uit zet.

Kortom: uber lek en slecht script. Iedere file van de admin heeft wel 1 of meer lekken. Je bent ook super incosistent. De ene pagina beveilig je wel voor XSS en SQL injection, de andere niet.

PS: HAAL JE VARIABLEN BUITEN QUOTES!!!!!!!!!

Superhosting

Lid

Berichten: 190
Reputatie: 0
Punten: 0,00

Lid sinds: 2011
Laatst gezien: 30 apr 2020

28 jun 2013, 20:29

#23

Raaoul schreef:
Zijn jullie er klaar voor???

Afbeelding

Fijn! Daar gaan we dan!

Dit script is dus super lek, zon lek waarvoor je je loodgieter moet bellen.

[COLOR= #0000BB]<?php

$category[/COLOR] [COLOR= #007700]=[/COLOR] htmlentities[COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]category[/COLOR][COLOR= #007700]]);[/COLOR]

?>

Serieus? Gebruik geen htmlentities als je iets insert in de table, dit doe je enkel bij de output. Je wilt je db-data zo puur mogelijk houden. Tevens ook lek tegen SQL injection.

We kruipen nu wat dieper in die stinkhole die je gereleased hebt...

Wat grappig!

[COLOR= #0000BB]<?php[/COLOR]
[COLOR= #FF8000]// Check om te kijken of het lid bestaat[/COLOR]

[COLOR= #0000BB]$sql[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #DD0000]"SELECT COUNT(*) num FROM users WHERE username = "[/COLOR] [COLOR= #007700].[/COLOR] [URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$username[/COLOR][COLOR= #007700]) .[/COLOR] [COLOR= #DD0000]""[/COLOR][COLOR= #007700];[/COLOR]

[COLOR= #FF8000]// De gebruiker aanmaken[/COLOR]
[COLOR= #0000BB]$query[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]query[COLOR= #007700]([/COLOR][COLOR= #DD0000]"INSERT INTO user (username, password, date) VALUES($username, $password, $date)"[/COLOR][COLOR= #007700]);[/COLOR]

Afbeelding

Om te kijken of het lid bestaat beveilig je jezelf wel tegen SQL injection, maar bij het aanmaken niet. Beetje flauw.

Oh maar! In login.php gebruik je dit keer niet mysql_real_escape_string maar dat gedrocht van strip_tags in plaats.

[COLOR= #0000BB]<?php

$user[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/strip_tags"]strip_tags[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$user[/COLOR][COLOR= #007700]);[/COLOR]

?>

Even verder gaan... logout.php is waarschijnlijk het beste deel van het script (grotendeels omdat er maar 7 lijnen code zijn en dat je daarom weinig fout kunt doen). Maar het bevat nog steeds fouten. Misschien is het beter om te kijken of het lid wel eerst is ingelogd alvorens je het lid uitlogt. Kleine tip.

En in new_post.php behandel je dan wel weer SQL injection.

[COLOR= #0000BB]<?php

$title[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]real_escape_string[COLOR= #007700]([/COLOR][COLOR= #0000BB]$title[/COLOR][COLOR= #007700]);[/COLOR]
[COLOR= #0000BB]$body[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]real_escape_string[COLOR= #007700]([/COLOR][COLOR= #0000BB]$body[/COLOR][COLOR= #007700]);[/COLOR]

?>

Er is bijna licht aan het einde van de tunnel...

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/while"]while[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$row[/COLOR] [COLOR= #007700]=[/COLOR] mysqli_fetch_array[COLOR= #007700]([/COLOR][COLOR= #0000BB]$result[/COLOR][COLOR= #007700]))
{[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<tr>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<td><h4>"[/COLOR] [COLOR= #007700].[/COLOR] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]username[/COLOR][COLOR= #007700]] .[/COLOR] [COLOR= #DD0000]"</h4></td>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<td><h4>"[/COLOR] [COLOR= #007700].[/COLOR] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]date[/COLOR][COLOR= #007700]] .[/COLOR] [COLOR= #DD0000]"</h4></td>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"</tr>"[/COLOR][COLOR= #007700];
}[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"</table>"[/COLOR][COLOR= #007700];[/COLOR]
?>

Hmmm... hier zou je dan htmlentities() moeten gebruiken en niet bij het registreren want....

Quote:
Gebruik geen htmlentities als je iets insert in de table, dit doe je enkel bij de output. Je wilt je db-data zo puur mogelijk houden.

Verder heb ik nog een foutje gevonden:

[COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #007700]([/COLOR][COLOR= #0000BB]$row[/COLOR][COLOR= #007700]->[/COLOR]body[COLOR= #007700]);[/COLOR] ?>


[COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<br>Posted on <i>"[/COLOR][COLOR= #007700].[/COLOR]htmlentities[COLOR= #007700]([/COLOR][COLOR= #0000BB]$test[/COLOR][COLOR= #007700]->[/COLOR]posted[COLOR= #007700]).[/COLOR][COLOR= #DD0000]"</i>"[/COLOR][COLOR= #007700];[/COLOR] ?>

Moet die $test niet $row zijn? Komt er van als je error reporting uit zet.

Kortom: uber lek en slecht script. Iedere file van de admin heeft wel 1 of meer lekken. Je bent ook super incosistent. De ene pagina beveilig je wel voor XSS en SQL injection, de andere niet.

Afbeelding

PS: HAAL JE VARIABLEN BUITEN QUOTES!!!!!!!!!

Tyler

Lid

Berichten: 443
Reputatie: 0
Punten: 0,00

Lid sinds: 2013
Laatst gezien: 12 jun 2025

28 jun 2013, 20:40

#24

Raaoul schreef:
Zijn jullie er klaar voor???

Afbeelding

Fijn! Daar gaan we dan!

Dit script is dus super lek, zon lek waarvoor je je loodgieter moet bellen.

[COLOR= #0000BB]<?php

$category[/COLOR] [COLOR= #007700]=[/COLOR] htmlentities[COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]category[/COLOR][COLOR= #007700]]);[/COLOR]

?>

Serieus? Gebruik geen htmlentities als je iets insert in de table, dit doe je enkel bij de output. Je wilt je db-data zo puur mogelijk houden. Tevens ook lek tegen SQL injection.

We kruipen nu wat dieper in die stinkhole die je gereleased hebt...

Wat grappig!

[COLOR= #0000BB]<?php[/COLOR]
[COLOR= #FF8000]// Check om te kijken of het lid bestaat[/COLOR]

[COLOR= #0000BB]$sql[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #DD0000]"SELECT COUNT(*) num FROM users WHERE username = "[/COLOR] [COLOR= #007700].[/COLOR] [URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$username[/COLOR][COLOR= #007700]) .[/COLOR] [COLOR= #DD0000]""[/COLOR][COLOR= #007700];[/COLOR]

[COLOR= #FF8000]// De gebruiker aanmaken[/COLOR]
[COLOR= #0000BB]$query[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]query[COLOR= #007700]([/COLOR][COLOR= #DD0000]"INSERT INTO user (username, password, date) VALUES($username, $password, $date)"[/COLOR][COLOR= #007700]);[/COLOR]

Afbeelding

Om te kijken of het lid bestaat beveilig je jezelf wel tegen SQL injection, maar bij het aanmaken niet. Beetje flauw.

Oh maar! In login.php gebruik je dit keer niet mysql_real_escape_string maar dat gedrocht van strip_tags in plaats.

[COLOR= #0000BB]<?php

$user[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/strip_tags"]strip_tags[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$user[/COLOR][COLOR= #007700]);[/COLOR]

?>

Even verder gaan... logout.php is waarschijnlijk het beste deel van het script (grotendeels omdat er maar 7 lijnen code zijn en dat je daarom weinig fout kunt doen). Maar het bevat nog steeds fouten. Misschien is het beter om te kijken of het lid wel eerst is ingelogd alvorens je het lid uitlogt. Kleine tip.

En in new_post.php behandel je dan wel weer SQL injection.

[COLOR= #0000BB]<?php

$title[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]real_escape_string[COLOR= #007700]([/COLOR][COLOR= #0000BB]$title[/COLOR][COLOR= #007700]);[/COLOR]
[COLOR= #0000BB]$body[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]real_escape_string[COLOR= #007700]([/COLOR][COLOR= #0000BB]$body[/COLOR][COLOR= #007700]);[/COLOR]

?>

Er is bijna licht aan het einde van de tunnel...

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/while"]while[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$row[/COLOR] [COLOR= #007700]=[/COLOR] mysqli_fetch_array[COLOR= #007700]([/COLOR][COLOR= #0000BB]$result[/COLOR][COLOR= #007700]))
{[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<tr>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<td><h4>"[/COLOR] [COLOR= #007700].[/COLOR] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]username[/COLOR][COLOR= #007700]] .[/COLOR] [COLOR= #DD0000]"</h4></td>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<td><h4>"[/COLOR] [COLOR= #007700].[/COLOR] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]date[/COLOR][COLOR= #007700]] .[/COLOR] [COLOR= #DD0000]"</h4></td>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"</tr>"[/COLOR][COLOR= #007700];
}[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"</table>"[/COLOR][COLOR= #007700];[/COLOR]
?>

Hmmm... hier zou je dan htmlentities() moeten gebruiken en niet bij het registreren want....

Quote:
Gebruik geen htmlentities als je iets insert in de table, dit doe je enkel bij de output. Je wilt je db-data zo puur mogelijk houden.

Verder heb ik nog een foutje gevonden:

[COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #007700]([/COLOR][COLOR= #0000BB]$row[/COLOR][COLOR= #007700]->[/COLOR]body[COLOR= #007700]);[/COLOR] ?>


[COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<br>Posted on <i>"[/COLOR][COLOR= #007700].[/COLOR]htmlentities[COLOR= #007700]([/COLOR][COLOR= #0000BB]$test[/COLOR][COLOR= #007700]->[/COLOR]posted[COLOR= #007700]).[/COLOR][COLOR= #DD0000]"</i>"[/COLOR][COLOR= #007700];[/COLOR] ?>

Moet die $test niet $row zijn? Komt er van als je error reporting uit zet.

Kortom: uber lek en slecht script. Iedere file van de admin heeft wel 1 of meer lekken. Je bent ook super incosistent. De ene pagina beveilig je wel voor XSS en SQL injection, de andere niet.

Afbeelding

PS: HAAL JE VARIABLEN BUITEN QUOTES!!!!!!!!!

Held.

One2xs

Bot

Berichten: 93.699
Reputatie: 0
Punten: 1,27

Lid sinds: 2025
Laatst gezien: 29 jun 2025

28 jun 2013, 22:11

#25

Mounssif schreef:
Eerdere citaten tonen
Jochems schreef:
Waarom probeerde je het script Engels te maken terwijl je de taal niet beheerst?
Articel moet natuurlijk article zijn..

Sorry, poste hem eerst op een engelse forum

Linkje dan?

Mounssif

Lid · Topicstarter

Berichten: 1.284
Reputatie: 0
Punten: 0,00

Lid sinds: 2012
Laatst gezien: 12 jun 2025

28 jun 2013, 23:09

#26

Jochems schreef:
Eerdere citaten tonen
Mounssif schreef:
Eerdere citaten tonen
Jochems schreef:
Waarom probeerde je het script Engels te maken terwijl je de taal niet beheerst?
Articel moet natuurlijk article zijn..

Sorry, poste hem eerst op een engelse forum
Linkje dan?

http://www.industrialgaming.co.uk/forum/RELEASE-Blog-script-PHP-wc

toevoeging op 28 juni 2013, 2339:

Raaoul schreef:
Zijn jullie er klaar voor???

Afbeelding

Fijn! Daar gaan we dan!

Dit script is dus super lek, zon lek waarvoor je je loodgieter moet bellen.

[COLOR= #0000BB]<?php

$category[/COLOR] [COLOR= #007700]=[/COLOR] htmlentities[COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]category[/COLOR][COLOR= #007700]]);[/COLOR]

?>

Serieus? Gebruik geen htmlentities als je iets insert in de table, dit doe je enkel bij de output. Je wilt je db-data zo puur mogelijk houden. Tevens ook lek tegen SQL injection.

We kruipen nu wat dieper in die stinkhole die je gereleased hebt...

Wat grappig!

[COLOR= #0000BB]<?php[/COLOR]
[COLOR= #FF8000]// Check om te kijken of het lid bestaat[/COLOR]

[COLOR= #0000BB]$sql[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #DD0000]"SELECT COUNT(*) num FROM users WHERE username = "[/COLOR] [COLOR= #007700].[/COLOR] [URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$username[/COLOR][COLOR= #007700]) .[/COLOR] [COLOR= #DD0000]""[/COLOR][COLOR= #007700];[/COLOR]

[COLOR= #FF8000]// De gebruiker aanmaken[/COLOR]
[COLOR= #0000BB]$query[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]query[COLOR= #007700]([/COLOR][COLOR= #DD0000]"INSERT INTO user (username, password, date) VALUES($username, $password, $date)"[/COLOR][COLOR= #007700]);[/COLOR]

Afbeelding

Om te kijken of het lid bestaat beveilig je jezelf wel tegen SQL injection, maar bij het aanmaken niet. Beetje flauw.

Oh maar! In login.php gebruik je dit keer niet mysql_real_escape_string maar dat gedrocht van strip_tags in plaats.

[COLOR= #0000BB]<?php

$user[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/strip_tags"]strip_tags[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$user[/COLOR][COLOR= #007700]);[/COLOR]

?>

Even verder gaan... logout.php is waarschijnlijk het beste deel van het script (grotendeels omdat er maar 7 lijnen code zijn en dat je daarom weinig fout kunt doen). Maar het bevat nog steeds fouten. Misschien is het beter om te kijken of het lid wel eerst is ingelogd alvorens je het lid uitlogt. Kleine tip.

En in new_post.php behandel je dan wel weer SQL injection.

[COLOR= #0000BB]<?php

$title[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]real_escape_string[COLOR= #007700]([/COLOR][COLOR= #0000BB]$title[/COLOR][COLOR= #007700]);[/COLOR]
[COLOR= #0000BB]$body[/COLOR] [COLOR= #007700]=[/COLOR] [COLOR= #0000BB]$db[/COLOR][COLOR= #007700]->[/COLOR]real_escape_string[COLOR= #007700]([/COLOR][COLOR= #0000BB]$body[/COLOR][COLOR= #007700]);[/COLOR]

?>

Er is bijna licht aan het einde van de tunnel...

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/while"]while[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$row[/COLOR] [COLOR= #007700]=[/COLOR] mysqli_fetch_array[COLOR= #007700]([/COLOR][COLOR= #0000BB]$result[/COLOR][COLOR= #007700]))
{[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<tr>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<td><h4>"[/COLOR] [COLOR= #007700].[/COLOR] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]username[/COLOR][COLOR= #007700]] .[/COLOR] [COLOR= #DD0000]"</h4></td>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<td><h4>"[/COLOR] [COLOR= #007700].[/COLOR] [COLOR= #0000BB]$row[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]date[/COLOR][COLOR= #007700]] .[/COLOR] [COLOR= #DD0000]"</h4></td>"[/COLOR][COLOR= #007700];[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"</tr>"[/COLOR][COLOR= #007700];
}[/COLOR]
[URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"</table>"[/COLOR][COLOR= #007700];[/COLOR]
?>

Hmmm... hier zou je dan htmlentities() moeten gebruiken en niet bij het registreren want....

Quote:
Gebruik geen htmlentities als je iets insert in de table, dit doe je enkel bij de output. Je wilt je db-data zo puur mogelijk houden.

Verder heb ik nog een foutje gevonden:

[COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #007700]([/COLOR][COLOR= #0000BB]$row[/COLOR][COLOR= #007700]->[/COLOR]body[COLOR= #007700]);[/COLOR] ?>


[COLOR= #0000BB]<?php[/COLOR] [URL="http://www.php.net/echo"]echo[/URL] [COLOR= #DD0000]"<br>Posted on <i>"[/COLOR][COLOR= #007700].[/COLOR]htmlentities[COLOR= #007700]([/COLOR][COLOR= #0000BB]$test[/COLOR][COLOR= #007700]->[/COLOR]posted[COLOR= #007700]).[/COLOR][COLOR= #DD0000]"</i>"[/COLOR][COLOR= #007700];[/COLOR] ?>

Moet die $test niet $row zijn? Komt er van als je error reporting uit zet.

Kortom: uber lek en slecht script. Iedere file van de admin heeft wel 1 of meer lekken. Je bent ook super incosistent. De ene pagina beveilig je wel voor XSS en SQL injection, de andere niet.

Afbeelding

PS: HAAL JE VARIABLEN BUITEN QUOTES!!!!!!!!!

Bedankt! Voor jou uhh hulp?

Aarclay

Lid

Berichten: 10.421
Reputatie: 4
Punten: 0,00

Lid sinds: 2012
Laatst gezien: 11 jun 2026

29 jun 2013, 11:13

#27

Dat vraagteken lijkt me een uitroepteken te moeten zijn

Verder, prachtige uitleg...