http://.../forum/tools.php?event=who&upage=! - выводит всякую хрень - некрасиво однако. :)
советую добавить ini_set('register_globals','off'); в начало всех запускаемых скриптов (инклудящиеся файлы можно не патчить), это избавит от регистрации всех, даже переменных хакера из $_GET и $_POST запросов. :)
например в скрипте есть <?php echo($hello);?>, при включенном register_globals ссылка index.php?hello=<script>alert(document.cookie)</script> отправит $_GET["hello"] и преобразует в php переменную, ну и выведет куки юзера, который обратился к скрипту (типичный XSS). :)
а чтобы не было инжектов - используйте htmlspecialchars() или на крайняк addslashes() для фильтрации всех $_GET, $_POST и $_COOKIE запросов. а то я не увидел практически никакой фильтрации, рай для начинающих хакеров. :)
чтобы понятнее было как юзать эти функции, приведу пример: htmlspecialchars($_GET["id"]), это защитит от любого хтмл кода, так как спецсимволы хтмл кода заменятся на ерунду типа ", понятное браузеру, но "непонятное" пхп.
Главная сайта
