Но тогда другой вопрос. Скажем, если мы прописали правило

RewriteRule ^(category)/([A-Za-z0-9_]+)/$ index.php?fuckyou=$2 [L]

то взломщик не может знать, какая именно переменная отдает URL категории, верно?

хотя в итоге я с Вами согласен на 100% – проверять надо все. я собирался этим заняться в самом конце, как у меня написано во второй части

Вследствие чего, возможен sql-injection, о котором я писал у себя в посте.

Только во-первых, мой ник пишется не так. Не очень вежливо получилось ;)

Во-вторых, вопрос: ведь кавычка не входит в ражрешенные символы в .htaccess, разрешены только буквы цифры и подчеркивание. Поэтому Ваш запрос не пройдет. Или я не прав? Проверить сейчас возможности не имею, только что поставил линух.

Я нигде не говорил, что пох, типа на проверки. Просто в данном случае мне кажется, что при записи в .htaccess вида A-Za-z0-9_ нельзя подставить никакую sql-inj.

Приведите ее пример, пожалуйста, который бы срабатывал и при этом хакал или хотя бы вешал двигло?.. Кроме подставления всякого бреда типа ’sdfsdfwerekjhf’, запись о котором просто не найдется в базе данных. Ну и без всякого бреда, типа переполнение буфера интерпретатора, я не знаю :)

Даже кавычку не подставить – сразу вылезет ошибка веб-сервера.

P.S. Поставил себе Linux, снес Vista :) Если Вы знаете ман на настройку WiFi и расшаривание инета, буду очень благодарен. Не могу врубиться даже, как поднять WLan как сервер (хотя подключиться к другой сети я могу)… :(

Насмешил :smile: Это ГРУБЕЙШАЯ ошибка программистов. Взломщик может подобрать запрос вида index.php?post=[sql-inj] (к примеру), тут никакой mod_rewrite не поможет.
НИКОГДА нельзя доверять данным, получаемым со стороны клиента! Ибо их можно подделать.
Лучше сразу предвидеть все возможные ситуации и защитить скрипт правильно. Один из способов, проверять по регулярному выражению переменные $_GET['post'], $_GET['category'], $_GET['page']:

// php code
// сделал перенос строк, чтобы не съезжал диз
if(eregi(«[^a-z0-9_-]«,$_GET['post']) ||
eregi(«[^a-z0-9_-]«,$_GET['category']) ||
eregi(«[^0-9]«,$_GET['page']))
{ die(‘некорректные данные’); }
// php code

Если уж пишите руководство к тому, как писать простейший блог на php, не допускайте ошибок. На ваших примерах учатся люди.

Рекомендуется к прочтению:
http://raz0r.name/mysli/kak-nuzhno-proveryat-vxodyashhie-dannye/
http://raz0r.name/mysli/proveryajte-tip-dannyx/
http://raz0r.name/releases/funkciya-dlya-obrabotki-vxodyashhix-dannyx/

А хакер для меня сам по себе, как данность, аксиома – взламывает чужие сайты с целью испортить/получить недоступную информацию.

2Номад Кочующий: см. выше.

2Виктор: Разберемся в процессе. К сожалению, не было возможности проверить на момент написания статьи.

2wonder: Если понадобится сделать что-то масштабное с готовым движком, скорее всего – не получится. Со своим – легко ;)

2c0nst:

1. Не спорю.

2. Честно говоря, я считаю, что разделять хакеров на «классы» все равно, что разделять говно по цвету; извините, если кого обидел. Говно – оно везде говно. Если человек хочет сделать гадость и делает ее, то не важно каким именно образом.

3. Молоток! :) Твой блог грузится в разы быстрее моего, например, вот сразу чувствуется самописка. Кстати, хороший блог у тебя, о безопасности мало пишут по делу и не для нубов ;)

> Ведь для взлома уникального, нигде больше не установленного движка хакеру придется поломать голову. А вот для стандартных движков обычно делают даже так называемые эксплойты – скрипт, запустив который, даже безмозглый 12летний идиот может получить пароли от админки Вашего блога.
Не стоит путать понятия хакеров и скрипт-кидди. В любом случае, хакер ломает мозг, ибо ситуации бывают разные.
Порой, даже коммерческие движки легче поддаются взлому, чем их опенсорс аналоги.

p.s. движок для своего блога написал сам за пару дней

Не принимаю непоследовательную критику.

> Для простоты мы будем использовать только int и text.
> id (int auto increment) | url (text) | title (text) | post (text) | dt (datetime)

> Для простоты мы будем использовать только int и text.

Больше не буду пропускать посты, автор которых не потрудился прочитать статью, но пытается критиковать. ;)

Когда я сам пишу скрипты или сайты, я стараюсь себя ограничить вот такими небольшими (или большими), но четкими рамками. И не выходить за них, пока скрипт не будет сделан, отлажен и запущен в работу. Иначе можно заработаться и не сделать до конца или сделать плохо, как я уже писал.

Несколько наших проектов постигла именно такая судьба. На ходу придумывали новые «фишки», а в итоге уже 2 года мы наблюдаем полное отсутствие работоспособных стартапов у себя :(

2bishai: Это не опечатка. Просто параметр, заключенный в скобки, никуда не передается. Но спасибо за замечание :)

Выделять я буду в следующей статье, это все же не программный код пока что, а так – наброски.

Я посоветовал бы так же потом выделять как-нибудь программный код.