【PHP】くだらねぇ質問はここに書き込みやがれpart9
■ このスレッドは過去ログ倉庫に格納されています
0001nobodyさん
2005/09/03(土) 11:53:32ID:7OO4C5e5ここなら本ｽﾚで回答のないお前の下らない質問に回答があるかも知れません。
次ｽﾚは>>970あたりが建てて下さい
・過去ｽﾚ
【PHP】くだらねぇ質問はここに書き込みやがれ
http://pc5.2ch.net/test/read.cgi/php/1099322141/
【PHP】くだらねぇ質問はここに書き込みやがれpart2
http://pc5.2ch.net/test/read.cgi/php/1105218084/
【PHP】くだらねぇ質問はここに書き込みやがれpart3
http://pc5.2ch.net/test/read.cgi/php/1107780435/
【PHP】くだらねぇ質問はここに書き込みやがれpart4
http://pc8.2ch.net/test/read.cgi/php/1110697712/
【PHP】くだらねぇ質問はここに書き込みやがれpart5
http://pc8.2ch.net/test/read.cgi/php/1114787573/
【PHP】くだらねぇ質問はここに書き込みやがれpart6
http://pc8.2ch.net/test/read.cgi/php/1117945031/
【PHP】くだらねぇ質問はここに書き込みやがれpart7
http://pc8.2ch.net/test/read.cgi/php/1121100429/
【PHP】くだらねぇ質問はここに書き込みやがれpart8
http://pc8.2ch.net/test/read.cgi/php/1123431535/
0002nobodyさん
2005/09/03(土) 12:51:30ID:???0003nobodyさん
2005/09/03(土) 13:50:11ID:???作成にあたりセキュリティ面に不安があり、皆様のご意見を聞かせていただけたらと思います。
例えばユーザーが編集したページデザインが
<html><head><head><body>
名前：#namae<br>
タイトル：#title<br>
</body></html>
だったとしてこれを元に
<?php
echo '<html><head><head><body>名前：'.$namae.'<br>タイトル：'.$title.'<br></body></html>';
?>
（↑#namaeを '.$namae.' に#titleを '.$title.' に変換しただけ）
このようなincludeファイルを作って表示された場合に、シングルクウォートの入力を許可するとPHPの関数が実行可能となってしまいますが、
シングルクウォート以外を使って関数の実行は可能でしょうか？デザインの編集はフォームで行います。
ソース中の記号が読みにくいかと思いますがよろしくお願い致します。
0004nobodyさん
2005/09/03(土) 14:11:34ID:7K8wd7Ia#namaeを
<?php echo $namae; ?>に
置き換えればいいんじゃね？あとは普通のHTML。
00053
2005/09/03(土) 14:37:13ID:???ユーザーが>>2のようなデザインをフォームから投稿すると
str_replace("#namae","'.\$namae.'")
といったように書き換えて>>2のようなincludeファイルを作成します。
掲示板のPHPは記事データ（$namaeや$title）を読みこんだ後で
作成された>>2のincludeファイルを読み込んでincludeされたファイルがデータを表示します
ユーザーが作成するデザインでシングルクウォートが使えると
<html><head><head><body>
名前：#namae<br>';
$fp = ("./bbs.php");
$txt = fread($fp,filesize($file));
echo $txt;
echo '
タイトル：#title<br>
</body></html>
といった感じに書かれてしまうと、自由にPHPを実行されてしまいます。
シングルクウォート以外に禁止したほうがいい文字列なんかありますでしょうか？
わかりづらい文章ですみません。
■ このスレッドは過去ログ倉庫に格納されています