Тема: Где обработка этой функции (Сайт/Форум/Архив закрытых тем)

Искатель (7 Jun 2015 в 08:43)
Это этой функцией выводит? С базы?

Engine (7 Jun 2015 в 10:47)
Вероятно какая то защита заменяет

tramors (7 Jun 2015 в 12:38)
Искатель,Саш стоит кредитора фильтр(защита),но дел в том что в output_text.php там одну функцию вывода в браузер обработаннойной строки закрываешь вот так
return stripslashes(stripslashes($str)); // возвращаем обработанную строку
Руслан сказал тут все верно значит это экранирует и заменяет не в output_text
тогда где? форум новый писал же плагинс фиг знает может где то там вывел эту обработку но я смотрел вроде нету,вот и спросил может кто сталкивался

Кредитор (7 Jun 2015 в 12:45)
tramors, ну не совсем так я сказал. я написал чтобы ты проверил, обрабатывается ли текст на выходе функцией движка. очень часто модописатели своими функциями текст на выходе обрабатывают. А я код писал все же для движка. дай ссылку на страницу, где текст так выводит
		[i]Добавлено:[/i]
		stripslashes() вырезает обратный слеш всего лишь

tramors (7 Jun 2015 в 12:57)
Кредитор, Руслан ну я своими словами написал может чуть не так но смысл то тот же сейчас в личку кину

Кредитор (7 Jun 2015 в 17:38)
проблема решена. трудность была в файле создания темы forum/inc/new_t.php 
не в обиду автору кода, но зачем так параноить то? строка 20 файла и далее:
<?
$msg = esc(stripslashes(htmlspecialchars($_POST[\'msg\'])));
if (strlen2($msg)<10)$err[]=\'Короткое сообщение\';
if (strlen2($msg)>30000)$err[]=\'Длина сообщения превышает предел в 30 000 символа\';
$mat = antimat($msg);
if ($mat)$err[]=\'В тексте сообщения обнаружен мат: \'.$mat;
$msg = my_esc($msg);
?>
зачем вот это надо $msg = esc(stripslashes(htmlspecialchars($_POST[\'msg\']))); ???
если есть $msg = my_esc($msg); 
// Ребят, вы этими бесконечными проверками и вызовами кучи функций, только нагружаете работу скрипта, необоснованно причем. для записи в бд достаточно экранировать кавычки. а на выходе обработать запись, дабы избавить себя от xss

tramors (7 Jun 2015 в 18:01)
Кредитор, спасибо за помощь :)
тему можно крыть

Сибирский (7 Jun 2015 в 18:03)
Кредитор, это esc(stripslashes(htmlspecialchars($_POST[\'msg\'])));
 еще не верх пилотажа в плане фильтра, есть еще страшней )))

Кредитор (7 Jun 2015 в 18:14)
Сибирский, поддержу)

tramors (7 Jun 2015 в 18:16)
Сибирский, я так понимаю это и было то исправление о котором пишется что на форуме была возможность залить хсс и она убрана,по ходу вот этой байдой и убрана?

Кредитор (7 Jun 2015 в 18:24)
tramors, мало запись фильтровать. надо еще и на выходе с базы текст правильно выдать. но тебе нечего бояться

tramors (7 Jun 2015 в 18:43)
Кредитор, да я не боюсь,просто когда собирался делать новый думал взять движок что вы тогда делали 1.9.0 или последний,в итоге взял последний и в итоге уже не раз столкнулся с трудностями то иконки в классе перепутаны юзеров то какая то страница лена начинает писать а стиль прописан вообще не в теме выдает элемент стайл и вот выясняется что среди кодов воткнут стиль и то не весь а кусок на той или иной странице

Сибирский (7 Jun 2015 в 18:47)
tramors, не, в форуме через поиск была дыра, и не одна, переменная в сессии по ссылке так же представляет опасность

tramors (7 Jun 2015 в 18:50)
Сибирский, ааа вон что ну тогда понятно да там же окошко поиска :)

Мр. Форум (10 Jun 2015 в 09:24)
[red]Тему закрыл Админ форума AntonIM62[/red]

Мр. Форум (10 Jun 2015 в 09:24)
[red]Тему переместил Админ форума AntonIM62 из раздела Функции в раздел Архив закрытых тем[/red]

Источник: http://dcms-social.ru/forum/17/16/59169/