Vialls

<?php
$phpcode = "<?php echo '12345'; ?>";
?><?php echo '12345'; ?><?php
echo "1234"; 
?>

Так попробуйте не будет работать, просто продолжение кода не было.

Просто в переменной $phpcode, код начинается с <?php, а функция eval не закрывает предыдущий тег, и если бы не было ?>, то получилось бы так:

<?php
  $phpcode = "<?php echo '12345'; ?>";
  <?php echo '12345'; ?><?php
?>

А с ?>, вот так:

<?php
  $phpcode = "<?php echo '12345'; ?>";
  ?><?php echo '12345'; ?><?php
?>

Она используется для того, что бы выполнить PHP код из строковой переменной. Вот пример:

<?php
  $phpcode = "<?php echo '12345'; ?>";
  eval("?>".$phpcode);
?>

Этот код выведет 12345.

Т.е. если бы ты сделал так:

<?php
  $phpcode = "<?php echo '12345'; ?>";
  echo $phpcode;
?>

то вывело бы <?php echo '12345'; ?>, а не 12345...

Удобно если например у тебя лежит в БД код, ты его от туда выдераешь, в функцию eval пускаешь, и она его выполняет...

Кстате, уже забыл про эту тему, давно сделал. Способ, который описал Dima_2015 в моем случае работает немного быстрее, чес способ с подгрузкой в файл и include() его. Но если писать именно шаблонизатор (не мой случай), то быстрее работает подгрузка PHP файла, т.к. не нужно каждый раз обрабатывать шаблон, а достаточно обработать один раз (после его редактирования)...

отличный ответ)

я чё не понял автору нужна травка на фоне как на том сайте? или эфекты фоток и.т.п.

травка ему нужна, травка

Есть два выхода, заказать такую фишку, или выучить JS и сделать самому.

Не смотрел как на сайте лебедева сделано, а вообще это очень легко делается. Пишем функцию, которой передается номер картинки (или название), а потом эта функция подменяет изображение в нужном месте на другое. Эту функцию вызываем при клике на "номер этапа".

+1

А еще лучше, купить книжечку или поискать статьи в инетрнете (а их много, ОЧЕНЬ много) о безопасности PHP скриптов, и устранить все самому. А от того, что кто-то это сделает за тебя, у тебя "ума" не прибавиться и будешь продолжать писать скрипты с дырками

P.S.

На php.ru, помоему, есть неплохая статья о безопасности.

htttp://smarty.net, качаем и пользуемся. Если хотите свой шаблонизатор, качаем, изучаем, пишем.

<?php
  for ($i =0; $i < 10; $i++)
  {
	 if ($i % 2 == 0)
	 {
		echo "Красный";
	  }
	  else
	  {
	echo "Голубой";
	   }
  }
?>

http://vvsh.ru/tags/sp'am/ тут например

Уже нет.

Там стоит очень силная проверка, допускает тока [a-b0-9-A-B_-]

Но почему-то, когда я кавычку кидаю, она попадает в SQL запрос Наверное неправильно ты записал регулярку...

http://vvsh.ru/tags/spam/ Тут нет вроде...

А больше ничего не нарыл?

Нет, да я особо и не смотрел, так в нескольких местах попробывал параметры подкорректить... Хотя еще что-то видел, уже забыл Позже еще посмотрю.

Я тебя разочарую, там теперь другой скрипт , то решение оказалось неправильным, я его переписал

Да это не важно после "--" все комментируется. А перед этим можно просто написать нужный SQL запрос, разделив их ";"

Ты давай, быстрее все параметры из "вне" экранируй А то хакеры какие нить тему спалят, и жопа блогу

Не, все не буду, мне надоело. Я вот тут копал:

http://vvsh.ru/tags/spam' --'/

Вполне возможно, что нить сотворить, тем более запрос известен, он лежит в форуме PHP, в теме про теги

Vialls, может мне дать пример sql иньекции, пожалуйста.

Уже 15 минут этим занимаюсь, пытаюсь базу тебе почистить Если получится, дам

Это исправил.

Не исправил, все так-же. Спецсимволы SQL экранируй.

http://ru2.php.net/manual/ru/function.mysq...cape-string.php

Доброе время суток.

Нужна ваша помощь, очень надо поискать дыры в моем блоге, если вы бесплатно не хотите этого делать, я заплачу, http://vvsh.ru/

Жду вашей помощи.

Пишет, то что помечено красным, хотя по тому, что выделенно зеленым, так писать не должно

Мда

http://vvsh.ru/category/blog/ - все норм;

http://vvsh.ru/category/blo'g/ - You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'g/','05.01.2009, 7:28:33','79.140.20.238')' at line 1

Так сделать не получится. Во первых структура таблицы будет нарушаться (все должно быть так: <table><tr><td></td></tr>....</table> без лишних элементов), во вторых в ссылку можно вкладывать только встроенные элементы.. Тут надо делать либо с помощью JavaScript, либо как-то пытаться растянусь ссылку по всей ячейке...

<style type="text/css">
body
{
  background-color: #111111;
}
</style>

Между <head></head>

Пишут и ещё какие!!!!!!!!

Валяюсь... На HTML не пишут скрипты, наверно вы имели ввиду JavaScript или поднобное...

Какой метод использовал - простого перебора или другой?

Перебора До другого, что-то не додумался. Есть мысли?

Написал прогу, она нашла всего одну точку, которую я нашел и без нее...

Имеется ввиду, на следующую строку кода программы Одним словом, цикл обрывается...

В этом году сдаю ЕГЭ по информатике, щас решил посмотреть задания, наткнулся на довольно интерестное.

Я нашел только одну клетку, кто нибудь видит еще?

Вот более четкий лабиринт: