nicht angemeldet
Nabend!
ich hab ja schon ein bisschen Angst meine Frage zu stellen, aber irgendwann ist immer das 1. Mal. Könnt ihr bitte mein Gästebuch auf Angreifbarkeit testen.
Wovor hast du Angst? Abgesehen von einigen sehr wenigen Störenfrieden, wenn überhaupt, laufen hier doch sehr vertrauenswürdige Gestalten herum. Ich glaube, dass es besser ist, wenn wir dein GB testen und dir sagen, was du besser machen kannst, als wenn sich der Provider beschwert, weil sein Server unten ist oder jemand deine DB löscht.
Ich habe ja schon gesehen, dass das mit den magischen Quotes zu einigen unerwarteten Ergebnissen führt (im Text), aber ich hätte nicht gedacht, dass das sogar URIs betrifft. OK, solche Sachen wie meine Idee
javascript:(void)document.getElementsByTagName('div')[0].style.display='none'
klappen nicht, du siehst ja, mit den Quotes gibts Probleme, aber generell könnte das unpraktisch sein.
Mit Angreifbarkeit meine ich z.B. SQL-Injuctions oder Script-Injunctions.
Interesssant, über die Veränderung des offset-Parameters kann ich mir ja solche Späße wie "zeige mir alle Einträge ab 23 an" erlauben.
Ich hoffe, ich habe nichts kaputt gemacht, aber falls deine DB zufällig gb heißt, schau mal bitte nach, ob zufällig der Eintrag #16 noch dort ist. Ich habe dazu einfach mal ein weiteres SQL-Statement hinter den Offset geklemmt:
gb.php?offset=1; DELETE FROM gb WHERE id=16
DROP TABLE wollte ich dann doch lieber nicht machen.
Grüße, Robert