DIG Digital Corner
Alles wat je altijd al over computers, hardware, software, internet en elektronische gadgets had willen weten, maar niet op Tweakers.net durft te vragen.
Ook voor dummies is security belangrijk. Security is niet een leuke optie voor geavanceerde programmeurs, maar een vereiste voor alle programmeurs. Op het moment dat je publiekelijk toegankelijke webapplicaties maakt moeten die veilig zijn, net zoals je een veilige auto moet hebben op het moment dat je je op de snelweg begeeft.quote:Op dinsdag 11 maart 2008 12:50 schreef Thomass het volgende:
Overigens denk ik dat degene die dit vroeg een 'dummy' is op het gebied van php etc. en zal het dus écht niet veel uitmaken voor wat betreft security op zijn website
En hoe eerder je dat leert, hoe beter. Een belangrijke grondregel: alle userinput is *per definitie nooit te vertrouwen*.
"Security through obscurity" is geen security. Jij zet er wellicht een dir voor, maar je voorbeeld zou prima gebruikt kunnen worden om een bestand op een externe server te includen, etc. Dat wil je liever niet ivm Cross Site Scripting bijvoorbeeld.quote:Op dinsdag 11 maart 2008 12:50 schreef Thomass het volgende:
Dan moeten users eerst weten wat de namen en paden zijn van de php bestanden, daarbuiten gebruik ik dit zelf ook maar zet ik er eerst een directory voor waarin mijn php bestanden staan, die directory weet de user niet en krijgen ze ook niet te weten en van die directory kunnen ze tevens geen index opvragen.
Ik kan dan op mijn site wat HTML plempen, zorgen dat een user naar een bepaalde URL gaat waar ik die HTML include op jouw manier, vervolgens het JS cookie uitlezen en met een form posten naar mijn site. En da's slechts één mogelijke toepassing
Ik zit met een probleempje. Ik ben bezig met een blog-pagina waar op de 'frontpage' het begin van het blogitem weergegeven wordt (dus bijv. max 100 karakters) en waarbij het hele bericht te lezen is via een link 'Lees verder', die aan het einde van de 100 karakters wordt weergegeven.
Nu heb ik het voor elkaar om dus de gehele tekst te strippen op 100 karakters en na honderd karakters de link 'Lees verder' neer te zetten. Maar daarbij worden dus woorden in het midden afgekapt, wat erg lelijk is.
Hoe kan ik er voor zorgen dat de string afgekapt wordt op de laatste spatie voor de max van 100 karakters en die vervangen woord door drie puntjes, zodat er altijd hele woorden worden weergegeven?
Nu heb ik het voor elkaar om dus de gehele tekst te strippen op 100 karakters en na honderd karakters de link 'Lees verder' neer te zetten. Maar daarbij worden dus woorden in het midden afgekapt, wat erg lelijk is.
Hoe kan ik er voor zorgen dat de string afgekapt wordt op de laatste spatie voor de max van 100 karakters en die vervangen woord door drie puntjes, zodat er altijd hele woorden worden weergegeven?
$bericht = stripslashes($row['Inhoud1'])." ".stripslashes($row['Inhoud2'])." ".stripslashes($row['Inhoud3']);quote:Op dinsdag 11 maart 2008 13:55 schreef Tarabass het volgende:
Ik zit met een probleempje. Ik ben bezig met een blog-pagina waar op de 'frontpage' het begin van het blogitem weergegeven wordt (dus bijv. max 100 karakters) en waarbij het hele bericht te lezen is via een link 'Lees verder', die aan het einde van de 100 karakters wordt weergegeven.
Nu heb ik het voor elkaar om dus de gehele tekst te strippen op 100 karakters en na honderd karakters de link 'Lees verder' neer te zetten. Maar daarbij worden dus woorden in het midden afgekapt, wat erg lelijk is.
Hoe kan ik er voor zorgen dat de string afgekapt wordt op de laatste spatie voor de max van 100 karakters en die vervangen woord door drie puntjes, zodat er altijd hele woorden worden weergegeven?
$bericht = strip_tags($bericht);
$excerpt = preg_replace('#^((\w+\W*){0,15}).*?$#s', '\1', $bericht);
echo " <td class=\"ber_\">".$excerpt."... <a href=\"message.php?id=".$row['ID']."\">Lees verder!</a></td>\n";
Zo heb ik het in mijn geval gedaan
eerste 15 woorden dus
It's Time To Shine
[i]What would life be like without rhethorical questions?[/i]
[i]What would life be like without rhethorical questions?[/i]
volgens mij kun je hier wel wat mee: http://www.w3schools.com/php/func_string_strrpos.aspquote:Op dinsdag 11 maart 2008 13:55 schreef Tarabass het volgende:
Ik zit met een probleempje. Ik ben bezig met een blog-pagina waar op de 'frontpage' het begin van het blogitem weergegeven wordt (dus bijv. max 100 karakters) en waarbij het hele bericht te lezen is via een link 'Lees verder', die aan het einde van de 100 karakters wordt weergegeven.
Nu heb ik het voor elkaar om dus de gehele tekst te strippen op 100 karakters en na honderd karakters de link 'Lees verder' neer te zetten. Maar daarbij worden dus woorden in het midden afgekapt, wat erg lelijk is.
Hoe kan ik er voor zorgen dat de string afgekapt wordt op de laatste spatie voor de max van 100 karakters en die vervangen woord door drie puntjes, zodat er altijd hele woorden worden weergegeven?
Als je die vanaf positie 100 laat zoeken naar een spatie, geeft 'ie de positie waar je je bericht af moet kappen.
En hoe zorg je ervoor dat die 15 woorden geen 300 karakters bevatten?quote:Op dinsdag 11 maart 2008 14:09 schreef qu63 het volgende:
Zo heb ik het in mijn geval gedaan
eerste 15 woorden dus
Ik tik(te) de berichten zelfquote:Op dinsdag 11 maart 2008 15:06 schreef CraZaay het volgende:
[..]
En hoe zorg je ervoor dat die 15 woorden geen 300 karakters bevatten?
It's Time To Shine
[i]What would life be like without rhethorical questions?[/i]
[i]What would life be like without rhethorical questions?[/i]
Hoe dan in dit voorbeeld:quote:Op dinsdag 11 maart 2008 13:30 schreef CraZaay het volgende:
[..]
"Security through obscurity" is geen security. Jij zet er wellicht een dir voor, maar je voorbeeld zou prima gebruikt kunnen worden om een bestand op een externe server te includen, etc. Dat wil je liever niet ivm Cross Site Scripting bijvoorbeeld.
Ik kan dan op mijn site wat HTML plempen, zorgen dat een user naar een bepaalde URL gaat waar ik die HTML include op jouw manier, vervolgens het JS cookie uitlezen en met een form posten naar mijn site. En da's slechts één mogelijke toepassing :)
| 1 2 3 4 5 6 7 8 9 10 | if (isset($_GET['p']) $page = $_GET['p']; else $page = 'home'; $path = 'subpages/'.$page.'.php'; if (file_exists($path)) include $path; else include 'subpages/home.php'; ?> |
Da's wel ff iets anders dan je eerdere codevoorbeeld he Maar ook hier zou je als je het pad weet met subpages/../../../bla.php in principe nog ver kunnen komen. Vandaar dat het mijn voorkeur zou hebben om gewoon een lijst bij te houden van paginanamen die okay zijn
Maar ook hier zou je als je het pad weet met subpages/../../../bla.php in principe nog ver kunnen komen. Vandaar dat het mijn voorkeur zou hebben om gewoon een lijst bij te houden van paginanamen die okay zijn
Dan komt er zometeen een slimmerik die script.php?p=../../../../andere/map/geheimscript.php opvraagt. Of stel je eens voor dat het script zelf op deze manier wordt geinclude... ik weet eigenlijk niet hoe php hier mee omgaat maar het kan best dat dit je server (tijdelijk) op zijn bek trekt.quote:Op dinsdag 11 maart 2008 15:25 schreef Thomass het volgende:
[..]
Hoe dan in dit voorbeeld:
[ code verwijderd ]
Je kan om dit te voorkomen beter ook checken op bijv dat er alleen letters en cijfers in de bestandsnaam mogen zitten (bijv met een regular expression). Zo niet, fallback naar "home".
Mja ok, op deze manier doe ik het (ongeveer), sowieso kun je volgens mij geen externe dingen includen en al helemaal niks buiten public_html (of heb ik het fout hier?), en wat er aan php geinclude kan worden kunnen ze ook op de normale manier bij, door het pad in te typen in de url balk enzo.. Maargoed wellicht heb je gelijk (tis alleen zoveel gedoe als je nieuwe paginas maaktquote:Op dinsdag 11 maart 2008 15:56 schreef CraZaay het volgende:
Da's wel ff iets anders dan je eerdere codevoorbeeld he
)
Bedankt voor je input, maar hier heb ik weinig aan. Bovendien vind ik je code nogal langdradig, en zou je misschien zoiets moeten proberen, en dan met een countertje of whatever als $no == 15 is:quote:Op dinsdag 11 maart 2008 14:09 schreef qu63 het volgende:
[..]
$bericht = stripslashes($row['Inhoud1'])." ".stripslashes($row['Inhoud2'])." ".stripslashes($row['Inhoud3']);
$bericht = strip_tags($bericht);
$excerpt = preg_replace('#^((\w+\W*){0,15}).*?$#s', '\1', $bericht);
echo " <td class=\"ber_\">".$excerpt."... <a href=\"message.php?id=".$row['ID']."\">Lees verder!</a></td>\n";
Zo heb ik het in mijn geval gedaan :)
eerste 15 woorden dus
| 1 2 3 4 5 6 7 | function count_words($str) { $no = count(explode(" ",$str)); return $no; } ?> |
Wat natuurlijk gewoon meedenken is want ik ben ook maar een naab ;)
Ja, daar ga je redelijk de mist inquote:Op dinsdag 11 maart 2008 16:02 schreef Thomass het volgende:
Mja ok, op deze manier doe ik het (ongeveer), sowieso kun je volgens mij geen externe dingen includen en al helemaal niks buiten public_html (of heb ik het fout hier?)
PHP kan gewoon overal komen waar je rechten hebt op het filesystem, dus afhankelijk van de server config kun je meestal ook hoger komen dan public_html. Daarnaast kun je met include ook gewoon pagina's laden van http://www.example.com/ bijvoorbeeld. Zoals ik al eerder zei kun je zo dus exploits krijgen, omdat je als je direct naar dat externe adres gaat niet met Javascript op jouwdomein.nl kunt komen, maar als je de JS include en draait op jouwdomein.nl dus wel
Als je lui bent: Je kunt ook alle files in de directory waar het draaiende .PHP bestand staat scannen, en enkel die toelaten. Met bijvoorbeeld in_array of array_key_exists.
Bedankt voor je input. Ik heb even een snippet gemaakt, als het nog beter of korter kan hoor ik het graag natuurlijk. Ik zal de regel even met jullie delen:quote:Op dinsdag 11 maart 2008 14:26 schreef mcDavid het volgende:
[..]
volgens mij kun je hier wel wat mee: http://www.w3schools.com/php/func_string_strrpos.asp
Als je die vanaf positie 100 laat zoeken naar een spatie, geeft 'ie de positie waar je je bericht af moet kappen.
| 1 2 3 | echo $bericht = substr($bericht = substr($bericht,0,100),0,substr(strrpos($bericht," "),0)) . "... <a href=''>Lees verder</a>"; ?> |
Niet getest, maar zou volgens mij ook moeten werken (jouw code snap ik niet eens, zoiets kun je echt beter over meerdere vars verspreiden als je over een maand nog wilt weten wat het deed).
Zoek de eerste spatie na 100 karakters en gebruik de positie daarvan -1 (anders krijg je een string incl. de spatie) als length binnen substr().
| 1 2 3 | $bericht = substr($bericht, 0, strpos($bericht, ' ', 100)-1) . '<a href="#">Lees verder</a>'; ?> |
Zoek de eerste spatie na 100 karakters en gebruik de positie daarvan -1 (anders krijg je een string incl. de spatie) als length binnen substr().
Ik heb een aantal vragen mbt de taal instellen op een website.
Als ik in php de headers overschrijf, moet ik dan Accept-language hebben of Content-language? De een is een respons en de ander een request header, maar vanuit waaruit bekeken dan? Doet de bezoeker van de site een aanvraag en is de php pagina die terug wordt gestuurd een respons?
En verder heb ik de taal van de website ook nog in de meta tag gedefinieerd, moet het nog ergens anders?
Doel van dit alles is dat ik een engels en nederlands gedeelte op mijn website heb ( www.site.nl/nl/ en www.site.nl/en/ ) en ik wil dat o.a. google het zo goed mogelijk indexeert.
Nog meer tips zijn welkom!
Als ik in php de headers overschrijf, moet ik dan Accept-language hebben of Content-language? De een is een respons en de ander een request header, maar vanuit waaruit bekeken dan? Doet de bezoeker van de site een aanvraag en is de php pagina die terug wordt gestuurd een respons?
En verder heb ik de taal van de website ook nog in de meta tag gedefinieerd, moet het nog ergens anders?
Doel van dit alles is dat ik een engels en nederlands gedeelte op mijn website heb ( www.site.nl/nl/ en www.site.nl/en/ ) en ik wil dat o.a. google het zo goed mogelijk indexeert.
Nog meer tips zijn welkom!
-
"Accept-language" is de bezoeker die zegt zo van ... "Hey! Doe mij maar een Nederlandse pagina!", en "Content-language" is de server die een pagina afgeeft zo van "Hey! Dit is een Nederlandse pagina!".
De taal in de meta-tag is makkelijk voor Google, evenals de taal in de HTML tag als je XHTML gebruikt. Maar ook daar kan de client gebruik van maken.
De taal in de meta-tag is makkelijk voor Google, evenals de taal in de HTML tag als je XHTML gebruikt. Maar ook daar kan de client gebruik van maken.
Okee bedankt, dan moet ik dus de content-language instellen.
Ik gebruik geen xhtml, dus dan moet ik even kijken waar het lang= attribuut allemaal gebruikt mag worden van html4.01.
Is het overigens niet zo dat de meta tag in principe overbodig wordt, wanneer je het al in de header vermeld? Want het is een http-equiv. Of geeft google meer prioriteit aan de meta dan aan de header? (in dit geval dan)
Ik gebruik geen xhtml, dus dan moet ik even kijken waar het lang= attribuut allemaal gebruikt mag worden van html4.01.
Is het overigens niet zo dat de meta tag in principe overbodig wordt, wanneer je het al in de header vermeld? Want het is een http-equiv. Of geeft google meer prioriteit aan de meta dan aan de header? (in dit geval dan)
-
Lees anders Day 7: Identifying your language van A Dive Into Accessibility maar eens door, daar staat exact wat jij zoekt.
