Zählen

[Rapti]

Hi.

484161

[Doktor]

484162

[Amethystia]

484158

[Doktor]

484159

[Vadigrie]

484165

[Amethystia]

484166

[rainbowdash28]

484.167

(30.01.2015)Rapti schrieb:  Was ich meinte, ist, dass Parameter, die in eine Datenbankgeschrieben werden, normalerweise über POST verschickt werden. Bei $_REQUEST könnte einer daherkommen, die Post-Parameter in die URL schreiben und den Link an jemanden senden. Klickt dieser, werden entsprechende Daten sofort ausgewertet und in die Datenbank geschrieben. Ich könnte also jemandem einen Link schicken, der den Klickenden automatisch irgendwelches R34 in irgendeinen Thread posten ließe. Bei Verwendung von $_POST können zwar auch manipulierte Daten abgesendet werden, aber das muss der "Hacker" selbst tun und ohne Zugriff auf den Rechner eines Anderen kann er damit niemandem schaden.

Therefor wurden sowas wie token erfunden und das nicht umsonst.
Das sind mMn schon eher hagliche Bereiche in denen der User content veröffentlichen kann und somit dafür auch haftbar gemacht wird. Da sollte man grundlegend mehr Wert auf Sicherheit von externen Manipulierungen legen. Und das du zufällig den Token dann weißt ist schon eher unwahrscheinlich ein Programm müsst die Anfrage dazu auch erst einmal simulieren um diesen zu bekommen. Mögliche Manipulierung ist immer noch möglich, aber dafür gibt es dann wieder andere Möglichkeiten.

IMO liegt da der Fehler nicht bei _REQUEST sondern grundlegend dabei das nicht richtig zu prüfen ob die Anfrage erst überhaupt vom User ausgelöst wurde. Und nicht extern (egal ob nun eine Schadsoftware oder aber eben eine Falle eines anderen Users der den User etwas heimzahlen möchte)

//EDIT: Heyha Doktor

[N-e-o-n]

484.168

hi rd28

[Doktor]

484168

[Amethystia]

484170

[Doktor]

484171

[Vadigrie]

484172

[zimb3l]

484173

[Doktor]

484174
Hallo Dark und RBD

[N-e-o-n]

484175

hallo doktor
zählen nicht vergessen

[Doktor]

484176


ja

[zimb3l]

484177

Hay Doktor

[Amethystia]

484178

[Doktor]

484179

[Amethystia]

484180