Forum » Devschuur® » Programming » [Forumgame] Vind de kwetsbaarheid! » Reageren
:) 
:( 
;) 
>:) 
:> 
:P 
:9 
:o 
:*) 
:'( 
8) 
:+ 
:D 
_/-\o_
:9~ 
O+ 
:O 
}:O 
:/ 
:| 
:X 
:? 
8)7 
|:( 
O-) 
:z 
;( meer » En dan gebeurd er niet veel, want al je users hebben een username.username kan toch iets anders zijn als name?quote::
Maar post dan een voorbeeld script dat relevant is, en niet een script en dan achteraf zeggen, oh maar pietje kan ook iets anders zijn, want dat kan het niet zijn in jou script.
1 | <?php
|
Dat hele volkstammen het verschil tussen GET en POST (idempotentie) niet kennen is echt een serieus probleem. Het betreft niet alleen PHP'ers, maar er zijn er wel relatief veel die echt geen snars snappen van HTTP.Veel webshops zijn er vatbaar voor. Kun je een negatief aantal artikelen bestellen. De factuur ziet er vervolgens veelbelovend uitquote::
Da's snel! Hij was toch niet moeilijk hè?
Maar ik kom zoiets toch weleens vaker tegen. Gelukkig niet met geldbedragen.
Om het af te maken een voorbeeld voorkauwen:quote:
Lees bovenstaand voorbeeld en durf dit dan nog eens te zeggen.quote:
Bbbbbaaaaahhhh, al die ifs zijn ten eerste redundant en ten tweede kunnen ze gecombineerd worden. Wat is er mis metquote::
Laat ik er maar eens een stuk code posten. Voor het gemak weer in PHP.
PHP:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36<?php
// Als voorbeeld definiëer ik dit lokaal, maar zou uit een DB moeten komen o.i.d..
$ThisUserID = 3; // User ID van deze gebruiker.
$TargetUserID = 6; // User ID van de begunstigde. (Dit getal mag niet gelijk zijn aan $ThisUserID en moet natuurlijk een bestaande gebruiker zijn.
$AccountThisUser = 600; // Het bedrag wat deze gebruiker in bezit heeft.
$AccountTargetUser = 420; // Het bedrag wat de andere gebruiker in bezit heeft.
if ( isset($_GET["Donate"]) )
{
if ( is_numeric($_GET["Donate"]) )
{
if ( is_int( intval($_GET["Donate"]) ) )
{
$Donation = $_GET["Donate"];
if ( $Donation <= $AccountThisUser )
{
$AccountThisUser = $AccountThisUser - $Donation;
$AccountTargetUser = $AccountTargetUser + $Donation;
}
else
die("You do not have enough money!");
}
else
die("Error");
}
else
die("Error");
}
else
die("Error");
// En dit moet weer in de DB geschreven worden.
echo "Account this user: € ".$AccountThisUser.",--<br>";
echo "Account target user: € ".$AccountTargetUser.",--<br>";
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
| <?php
// Als voorbeeld definiëer ik dit lokaal, maar zou uit een DB moeten komen o.i.d..
$ThisUserID = 3; // User ID van deze gebruiker.
$TargetUserID = 6; // User ID van de begunstigde. (Dit getal mag niet gelijk zijn aan $ThisUserID en moet natuurlijk een bestaande gebruiker zijn.
$AccountThisUser = 600; // Het bedrag wat deze gebruiker in bezit heeft.
$AccountTargetUser = 420; // Het bedrag wat de andere gebruiker in bezit heeft.
$Donation = $_GET["Donate"];
if ( isset($Donation) && is_numeric($Donation) && is_int(intval($Donation)) && ( $Donation <= $AccountThisUser ))
{
$AccountThisUser = $AccountThisUser - $Donation;
$AccountTargetUser = $AccountTargetUser + $Donation;
}
else
die("Error");
// En dit moet weer in de DB geschreven worden.
echo "Account this user: € ".$AccountThisUser.",--<br>";
echo "Account target user: € ".$AccountTargetUser.",--<br>"; |
Wat er mis is met is_int() en is_float() mag je zelf opzoeken in de documentatiequote:
Over het algemeen is er niets mis mee om daar een GET te gebruiken. Je moet in de applicatie sowieso een check doen of de huidige gebruiker wel bij dat id mag komen. Dus als hij het id wil veranderen naar een ander id waar hij ook toegang tot heeft is daar niets mis mee.quote:
© 1998 - 2009 Tweakers.net - Alle rechten voorbehouden
Uitgever van:
![[quote]](images/icons/oldquote.gif "Quote bericht - Bericht is meer dan 4 weken oud!"){kind=icon}
Door: