Shout Box kurdum YALNIZ HTML KODLARINI YİYOR NASIL İNCLUDE YAPARIM

Question

Arkadaşlar merhaba siteme shout box kurdum ama html kodlarını yediğini farkettim 
buda bildiğiniz gibi büyük tehlike arz ediyor. Bunu nasıl kapatabilirim ??? bu açığı bi  kaç kişi;

htmlspecialchars ile değişkeni filtrelersen dedi ama bu nasıl yapılır bide include varmış nasıl yapıcam yardım edebilcek biri varmı?

Ambassador · Answer

İşte zaten onun için bunu yaptık ya html kodlarını yememesi iiçin

hose123 · Answer

teşekurler dostuım

anarschi · Answer

ya ben bu shoutboxlarda önceden çok gıcıklık yapardım selam nbr bye yazıyodum kodu site gitmiş artık site sahibi oldum  yazanlara küfür ediyom

404 · Answer

Trouble adlı üyeden alıntı: specialchars haricinde str_replace kullanabilirsin $content = str_replace("<","htmlkarşılıgı",$content); şeklinde özel karakterleri html karşılıklarıyla değiştirmen mümkün, ama buna gerek yok sanırım htmlspecialchars da işini görür, zaten aynı işi yapıyor. PHP: addslashes - Manual PHP: Security - Manual bu sayfalarda işine yarayabilir. deyindiğinize ek olarak : forumlarda bunu kullanırsanız satır atlamaları (
) lerde ve içinde html tırnakları geçen smileylerde sorun yasarsınız. Bunun dışında güvenlik unsuru olarak sadece meta tagleriyle yonlendırme ve html kodlarını bozabılırler ( iframe v.b ) bunlarda kullanıcı taraflıdır içeriğe zarar veremezler.

SEaL · Answer

anladım, teşekkürler. )

Ambassador · Answer

O script msn dalgası diyorum ben yaptım üyelerin üye olmasını kolaylaştırmak için shout boxla alaksı yok

Trouble · Answer

shoutbox, anlık yazışma gibi birşey, sayfa belirli zaman aralıklarıyla yenilenir, kullanıcını yazdıklarıda veritabanı yada herhangi bi dosyaya kaydolur. sayfa yenilendikçe yeni yazılar ekrana basılır. char gibim bişiy

SEaL · Answer

Ambassador adlı üyeden alıntı:										wwww.ambiansforum.com bu benim sitem ordan bakabilirsin 		Hmm baktım evet, gayet hoş, değişik şeyler eklemişsn farklı olarak. Şu sağ altta çıkan MSN olayı sanırım anladığım kadarıyla bu Shout Box . Doğru mu : )

Trouble · Answer

specialchars haricinde str_replace kullanabilirsin
$content = str_replace("<","htmlkarşılıgı",$content); şeklinde özel karakterleri html karşılıklarıyla değiştirmen mümkün, ama buna gerek yok sanırım htmlspecialchars da işini görür, zaten aynı işi yapıyor. 
PHP: addslashes - Manual
PHP: Security - Manual
bu sayfalarda işine yarayabilir.

Ambassador · Answer

wwww.ambiansforum.com bu benim sitem ordan bakabilirsin

SEaL · Answer

Ambassador adlı üyeden alıntı:										Shotboxın kodları... 		Bu "Shotboxın" ne ola ki, link var mı acaba bi baksak

Black1 · Answer

ya ben işin kodlarını bılmem ama kardeş tanıdık abımızın bı forumu sırf onun yüzünden hacklendı rezıl oldu forum haberın ola

Ambassador · Answer

Teşekkürler

Trouble · Answer

$content=htmlspecialchars($_REQUEST['sboxText'];
parantezi kapatmamışım ben 
$content=htmlspecialchars($_REQUEST['sboxText']); olarak denediğine eminmisin? error vermemesi lazım

Ambassador · Answer

Onu yapınca shout box içinde Parse erorr veriyor code 73 bilmem ne diyo editlediğimiz yerde 73 satır olmuyo o zaman shot box çalışmıyo gözükmüyo  Peki include olayı nasıl olur onu yapsak nolur ? onu yapabilirmiyiz html yememesi için include edebilirmiyiz ?

Ambassador · Answer

Olmadı denedim ama olmadı

Trouble · Answer

$content=$_REQUEST['sboxText']; sanırım burası

$content=htmlspecialchars($_REQUEST['sboxText'];
olarak denermisin

Ambassador · Answer

Shotboxın kodları...

Ambassador · Answer

Shoutbox '; switch ($_REQUEST['action']) { case "write": if ((!$context['user']['is_guest']) || ($modSettings['sbox_GuestAllowed'] == "1")) { // empty messages are not allowed $content=$_REQUEST['sboxText']; if(chop($content."") != "") { // get actual weekday $days = array($txt['sbox_Sunday'],$txt['sbox_Monday'],$txt['sbox_Tuesday'],$txt['sbox_Wednesday'],$txt['sbox_Thurday'],$txt['sbox_Friday'],$txt['sbox_Saturday']); $day=$days[date("w")]; // weekday $date=$day." | ". date("G:i"); // time // handle spacial characters $content=addslashes($content); // insert shout message into database $sql = "insert into ".$db_prefix."sbox_content (name,content,time) values ('".$user_info['username']."','".$content."','$date')"; db_query($sql,__FILE__,__LINE__); // delete old shout messages (get id of last shouting and delete all shoutings as defined in settings $result = db_query("select id from ".$db_prefix."sbox_content where name='".$user_info['username']."' and content='".$content."' and time='$date'",__FILE__,__LINE__); $rows = mysql_fetch_assoc($result) ; $sql = "delete from ".$db_prefix."sbox_content where id < '".($rows["id"]-$modSettings['sbox_MaxLines'])."'"; db_query($sql,__FILE__,__LINE__); } } break; case "kill": if ($context['user']['is_admin']) { $id = "".$_REQUEST['kill']; if ($id != "") { $sql = "delete from ".$db_prefix."sbox_content where id=".$id.""; db_query($sql,__FILE__,__LINE__); } } break; } // close header and open body echo ' '; // get smilie path $themedir = $settings['default_theme_url']; // smf theme path $imgdir = $themedir."/images/"; // smilie path // get shout messages out of database $result = db_query("select * from ".$db_prefix."sbox_content order by id desc, time asc limit ".$modSettings['sbox_MaxLines'],__FILE__,__LINE__); if(mysql_num_rows($result)) {$count=0; // counter to distinguish font colorwhile($row = mysql_fetch_assoc($result)){ $count = $count + 1; // increase counter $name = $row["name"]; // user name $date = $row["time"]; // shouting date and time $content = stripslashes($row['content']); // shouting content // replace smilie code with path to smilie image $content = str_replace ($txt['sbox_smilie01_code'], ' '.$txt['sbox_smilie01_text'].'

', $content); $content = str_replace ($txt['sbox_smilie02_code'], ' '.$txt['sbox_smilie02_text'].'

', $content); $content = str_replace ($txt['sbox_smilie03_code'], ' '.$txt['sbox_smilie03_text'].'

', $content); $content = str_replace ($txt['sbox_smilie04_code'], ' '.$txt['sbox_smilie04_text'].'

', $content); $content = str_replace ($txt['sbox_smilie05_code'], ' '.$txt['sbox_smilie05_text'].'

', $content); $content = str_replace ($txt['sbox_smilie06_code'], ' '.$txt['sbox_smilie06_text'].'

', $content); $content = str_replace ($txt['sbox_smilie07_code'], ' '.$txt['sbox_smilie07_text'].'

', $content); $content = str_replace ($txt['sbox_smilie08_code'], ' '.$txt['sbox_smilie08_text'].'

', $content); $content = str_replace ($txt['sbox_smilie09_code'], ' '.$txt['sbox_smilie09_text'].'

', $content); $content = str_replace ($txt['sbox_smilie10_code'], ' '.$txt['sbox_smilie10_text'].'

', $content); $content = str_replace ($txt['sbox_smilie11_code'], ' '.$txt['sbox_smilie11_text'].'

', $content); $content = str_replace ($txt['sbox_smilie12_code'], ' '.$txt['sbox_smilie12_text'].'

', $content); $content = str_replace ($txt['sbox_smilie13_code'], ' '.$txt['sbox_smilie13_text'].'

', $content); $content = str_replace ($txt['sbox_smilie14_code'], ' '.$txt['sbox_smilie14_text'].'

', $content); $content = str_replace ($txt['sbox_smilie15_code'], ' '.$txt['sbox_smilie15_text'].'

', $content); // display shouting message and use a different color each second row if ($count % 2) echo '

'; else echo '

'; if ($context['user']['is_admin']) echo '[X]'; echo '[ '.$date.' ] <'.$name.'> '.$content.'

';} echo ' '; } ?>

Trouble · Answer

hazır bi kod mu bu? yani htmlspecialchars ile yapılır fakat post ile gelen veri nerde işleniyo onu bulman gerekiyo,
$_POST arat kod içinde, 
eğer post la gelen veri başka bi değişkene atandıysa örnek olarak
$a=$_POST['falanfilan'];
o kısmı;
$a=htmlspecialchars($_POST['falanfilan']);
yapman yeterli olacaktır,

muhtemeken bu sınıf-nesne içinde olur, kod u yollama gibi bi imkanın olursa yardımcı olmaya çalışrm..