Нашли или выдавили из себя код, который нельзя назвать нормальным,
на который без улыбки не взглянешь?
Не торопитесь его удалять или рефакторить, — запостите его на
говнокод.ру, посмеёмся вместе!
// Сначала я увидел такой самонадеянный способ "послать нахуй все инъекции" (magic_quotes_gpc при этом вообще не проверялись :-))
# Посылаем смело нахуй все инъекции
foreach($_GET as $name => $value){
$_GET[$name] = mysql_real_escape_string($value);
}
foreach($_POST as $name => $value){
$_POST[$name] = mysql_real_escape_string($value);
}
// А потом - следующее (обратите внимание на отсутствие кавычек для GET параметров)
$result = mysql_query("SELECT * FROM ".$_GET['index_country']." WHERE id = ".$_GET['index_to_edit']);
Хочется передать автору этого креатива большое спасибо за то, что доставил мне массу лулзов при нахождении этого и других багов :-) Если народ и дальше будет думать, что этого достаточно чтобы избавиться от инъекций, я без денег точно не останусь )))))))))))
В веб-портале одной провинциальной локалки я встретил сборку SQL запросов на уровне JavaScript. Без бля.
Ломать не стал, т.к. там и так всё чаще лежало, чем работало, да и не стремлюсь к лаврам хакера...
Угу, а неПХПисты прям все поголовно одобряют. Слово "всегда", не подкреплённое ни единым аргументом - это демагогия и склонение к холивару.
/самоустранился из ветки
Разрыв мозгов был бы гарантирован.
http://somedomain.com?q=SELECT%20*%20FROM%20use rs%20WHERE%20login=%27user%27 %20AND%20pass=%2712345%27
Ломать не стал, т.к. там и так всё чаще лежало, чем работало, да и не стремлюсь к лаврам хакера...
как давать продавцу кошелёк со словами "возьмите сумму сами".
/самоустранился из ветки
в этой библиотеке больше всего дыр и уязвимостей. а патчить - всем лень. ведь работает - и ладно ))))
У многих даже библиотека brain.dll со времён MS-DOS 🙂
Кстати, а чё за сайт где это такое написано, пойду грохну ))
С Ув.
Гавнокодер.