Problema na personalização de código de fórum

[cloba]

olá colegas?!!!é o seguinte , vou passa o código e fala o que eu quero

exibe_conteudo.php

<?php

require_once("conecta_mysql.php");

//selecionando dados da tabela

$sql = "SELECT * FROM forum";

$query = mysql_query($sql);

while($sql = mysql_fetch_array($query)){

$id = $sql['id'];

$assunto = $sql["assunto"];

echo "<a href=nome.php?id=$id> <br> $assunto </a>";}

?>

<form method=post" action="respostaexibe.php">

<table width="50%" border="1" cellspacing="0" cellpadding="0">

<tr>

<td>Mensagem:</td>

<td><textarea name="assunto"></textarea></td>

</tr>

<tr>

<td> </td>

<td><input type="submit" name="enviar" value="Enviar a Mensagem"></td>

</tr>

</table>

</form>

nome.php

<?php

require_once("conecta_mysql.php");

$id = $_GET['id];

echo $id;

$sql = "SELECT * FROM forum WHERE id=$id";

$query = mysql_query($sql);

while($sql = mysql_fetch_array($query)){

$mensagem = $sql["mensagem"];

echo "Resultados para o ID $id <br> Nome: $mensagem ";

}

?>

<form method=post" action="resposta_nome.php">

<table width="50%" border="1" cellspacing="0" cellpadding="0">

<tr>

<td width="50%">Mensagem:</td>

<td width="50%"><textarea name="mensagem"></textarea></td>

</tr>

<tr>

<td> </td>

<td><input type="submit" name="enviar" value="Enviar"></td>

</tr>

</table>

</form>

resposta_nome.php

<?php

if(empty($_POST['mensagem])) {

header('Location: nome.php');

exit;

}

require_once("conecta_mysql.php");

$mensagem = $_POST['mensagem'];

$inserir = "INSERT INTO forum (assunto, mensagem, data, hora) VALUES ('' , '$mensagem' , '' , '' )";

mysql_query($inserir);

header('Location: nome.php');

mysql_close($conexao);

?>

até aí perfeito, adiciona o assunto quando digita na caixa d mensagem do exibe_conteudo.php e linka o assunto no exibe_conteudo.php e chama o nome.php e aparece a msg, como eu faço pra somar a msg quando é digitado na caixa d mensagem do nome.php ??qual o comando eu devo incrementar na página e qual seria essa página???

por. ex no nome.php

amanhã vai chover??

Sim vai chover!

Não vai chover.

obrigado galera quem puder ajudar

[cloba]

mas onde está vulneravel? é que eu não sei dessa parte de segurança

de script, o forum é esse

http://azzurradoabc.122mb.com/forumazzurra.php

se for possivel ve os ponto vulneravel, e dizer a partes inseguro do script e onde eu devo alterar o comando, obrigado

eu disse que. aqui eu aprendo e tenho certeza que. vou melhorar o script com a sua ajuda.

tem a ver com a msg que. aparece na URL inteiro?

eu queria saber como ele entrou e teve o previlegio de excluir todos o comentarios, e sabendo que. só o usuario que posta tem esse direito de excluir o seu comentario

Editado Maio 10, 2007 por cloba

[ESerra]

Em primeiro lugar, ninguém faz sistema de login passando o nome do usuário na url... porque basta o cara colocar lá ?user=fulado_de_tal que vai parecer que está logado...

[cloba]

mas ai tem o valida cookies, não serve isso?? mas a senha não aparece na url, como ele fez isso?? e qual é o modo mais seguro pra não passar username na url??? e como faz pra bloquear as tags html e javascript ?? e o php ele funciona quando é digitado o php no textarea?? é executado igual html??

[ESerra]

Ok.. se tem cookies tá ok.. mas você deveria guardar o nome do usuário no cookie também.. tudo que vem de um campo de formulário você deve utilizar o addslashes (note que dependendo da configuração do servidor não é preciso usar addslashes)...

[cloba]

então o comando pra tirar o html é esse ne ??

$texto = "<h1>";

no_texto = htmlspecialchars($texto)

como eu devo aplica em um form pra tira as tags HTML e o javascript??

por ex. você consegue ivadir vendo essa url

http://azzurradoabc.122mb.com/forumazulcon...hp?user=ronaldo

agora se você tenta entra nesse ele vai entrar normal também

http://azzurradoabc.122mb.com/nomeassunto....&user=vitor

o prob. que. o valida cookie não está funcionando porque??

olha o comando ve se tem alguma coisa d errado

login.php

<?php

// obtém os valores digitado

//$id = $_POST['id'];

$username = $_POST['username']; // pega o valores digitado do input username

$senha = $_POST['senha'];

require_once("conecta_mysql.php");

require_once("valida_cookies.php");

//acesso ao banco de dados

$resultado = mysql_query ("SELECT * FROM usuarios where username='$username'"); // seleciona o determinado username do campo username

$linhas = mysql_num_rows ($resultado);

if ($linhas==0) //testa a consulta retornou algum registro

{

$erro = urlencode("<font color=#FFFFFF>Usuario não encontrado</font>");

echo "<javascript language= \"JavaScript\">

location.href=\"forumazzurra.php?erro=$erro\"

</script>";

//echo "usuario não encontrado ";

//echo "<a href='logar.php'>Voltar</a>";

}

else

{

if ($senha != mysql_result($resultado , 0 , "senha")) // confere senha

{

$erro = urlencode("<font color=#FFFFFF>Senha incorreta</font>");

echo "<javascript language= \"JavaScript\">

location.href=\"forumazzurra.php?erro=$erro\"

</script>";

//echo "Senha incorreta ";

//echo "<a href='logar.php'>Voltar</a>";

}

else //usuário e senha corretos. vamos criar os cookies

{

setcookie("nome_usuario" , $username);

setcookie("senha_usuario" , $senha);

// direciona para a página inicial dos usuários cadastrados

header ("Location: forumazulconteudo.php?user=$username");

}

}

mysql_close($conexao);

?>

e o valida_cookie está assim

<?php

if(isset($_COOKIE["nome_usuario]))

$nome_usuario =$_COOKIE["nome_usuario"];

if (isset($_COOKIE["senha_usuario"]))

$senha_usuario = $_COOKIE["senha_usuario"];

if(!(empty($nome_usuario) OR empty($senha_usuario)))

{

$resultado = mysql_query("select * from usuarios where username='$nome_usuario'");

if(mysql_num_rows($resultado)==1)

{

if ($senha_usuario != mysql_result($resultado, 0 , "senha"))

{

setcookie("nome_usuario");

setcookie("senha_usuario");

echo "você não efetuou o login!";

exit;

}

}

else

{

setcookie("nome_usuario");

setcookie("senha_usuario");

echo "você não efetuou o login!";

exit;

}

}

else

{

echo "você não efetuou o Login!";

exit;

}

?>

como eu disse, o valida cookie não está funcionando , onde está faltando o pequeno detallhe??me ajuda a resolver esse pequeno detalhe, senão não adianta ter um forum né? e outra coisa esses dois links que eu passei também tem o valida cookies , e o login.php quando é clicado ao invés de dizer você não está logado ,já redireciona na pagina forumazulconteudo.php?user=$username logado.

:blink: :unsure:

Editado Maio 10, 2007 por cloba

[ESerra]

Não sei se você arrumou, mas aqui deu o aviso de que não estou logado...

Quanto ao htmlspecialchars, leia o que diz o manual.

[cloba]

então Serra, agora fala que. também não to logado, mas quando eu entro http://azzurradoabc.122mb.com/forumazzurra.php e tento me logar ele dar o aviso que. não to logado, sabendo que. o username e senha existe no banco de dados, e agora porque não quer funciona?????tenta cadastrar e dpois loga, pra ver o aviso que. dar, ele não loga no momento do cadastro você pd já loga , o codigo do login e valida_cookies é o mesmo, porque agora, será que. está mal colocado o require do valida cookies?? e também será que. é preciso colocar a conexão do banco no arquivo valida_cookie??? e você não disse como eu faço pra esconde a url no cookie naquele ex. user=ricardo onde eu guardo essa informação no cookies?? pra que. não apareça na url user=ricardo

Editado Maio 10, 2007 por cloba

[ESerra]

Em primeiro lugar, tente usar ponto final (.) apenas no final das frases, ok?

Em segudo lugar, se você não alterou nada, esse problema não pode ter aparecido do além.

E eu não disse "para esconder a url no cookie", leia com atenção o que eu escrevo para não ficar creditando a mim esse tipo de coisa, eu disse para você guardar o nome do cara no cookie e ao invés de usar o valor da url para confirmar o usuário, usar o valor do cookie para confirmar o mesmo...

[cloba]

beleza, mas como eu faço pra guarda o nome do usuario no cookie???

então, você cadastrou e depois tentou logar pra ver se está logando normal??

2º no login.php não tinha o valida_cookie, e ai eu coloquei antes do arquivo conexão com o banco, já que o valida_cookie não tem a conexão, porque eu já tentei colocar a conexão com o banco no valida cookie e no login.php, mas da erro, você disse que não pd colocar a conexao com o banco no valida_cookie e no login.php,porque da erro, e eu já testei dessa maneira, então, eu tirei a conexão do validacookie, já que no login.php já tem a conexão com o banco, por isso que está dando esse prob , o que eu devo fazer nessa ocasião??

é enviavel colocar o valida_cookie em todas as páginas que já tenha conexão com o banco???já que no valida cookie não tem a conexão com o banco , o arquivo conecta_mysql

Editado Maio 10, 2007 por cloba

[ESerra]

Você guarda o nome do usuário no cookie do mesmo modo que guarda qualquer coisa... basta pegar ele e mandar gravar no cookie...

Não me cadastrei não...

Em todas as páginas que são restritas você deve colocaro valida_cookie em primeiro lugar... pois ele tem que ser a primeira coisa a ser consultada..

[cloba]

e o no login.php também é enviavel colocar o valida cookie??

[ESerra]

Pensa, o login.php é uma página restrita? Só quem estiver logado vai acessar ela? É claro que não, logo para que você vai verificar o cookie numa página que vai começar o processo de criação do mesmo....

[cloba]

então eu não sei como faz pra guarda a user=ricardo no cookie, você poderia mostrar um ex. Serra pra refresca a memoria?? e outra coisa quando eu me logo como ricardo e dpois eu faço o logout até aí tudo bem, e quando eu digito a url

http://azzurradoabc.122mb.com/forumazulcon...hp?user=ricardo ele não pd, você precisa passar pro o login, sabendo que eu tinha feito o logout . era o certo passa por login novament

o arquivo do logout.php é esse

<?php

setcookie("nome_usuario");

setcookie("senha_usuario");

header ("Location: forumazzurra.php");

?>

porque não está funcionando??? ow é melhor fazer com o session?

Editado Maio 10, 2007 por cloba

[ESerra]

Porque você não olha no seu código como salva os dados no cookie?

Acontece, que no logout você tem que expirar o cookie e não setá-lo apenas... o manual tem alguns exemplos de como expirar um cookie (que consiste basicamente em setar um cookie com uma data anterior a atual)...

[cloba]

Serra, teve alguém que. conseguiu acessar a pagina sem passa pelo login, http://azzurradoabc.122mb.com/forumazulconteudo.php , mas eu não consegui chegar em uma oposição, o que deve ser guardado no cookie o user ?mostra um ex. pra mim Serra, a validação de cookie eu peguei ela pronto eu não aprendi isso no curso, por isso que. tenho essa imensa dúvida

a pessoa disse assim que tem tanto xss = cross site scripting

Editado Maio 10, 2007 por cloba

[ESerra]

Bom, se você não aprendeu, então veja o link do manual que eu te passei e exercite...

O link que você passou deu "você não efetuou o Login!"...

[cloba]

e como faço pra bloquear esse ataque XSS em php??

[ESerra]

Em geral, se você utilizar addslashes boa parte dos problemas já são evitados. Mas uma boa leitura é a desse site ai, para começar esse PDF já quebra bem o galho...

[cloba]

VLW CARA PELO SITE ATÉ AJUDOU UM POUCO, RESOLVI ESSA PARTE, EU ACHO QUE RESOLVI, porque DEGITEI <H1>OI</H1>

APARECEU ASSIM <H1>OI</H1> PARECE que.. FUNCIONOU, MAS AGORA DE GUARDA A URL PAGINA?USER=RICARDO NO COOKIE, EU não CONSEGUI RESOLVER não, não está VINDO A LÓGICA DISSO, ME MOSTRA UM EX. SERRA, SE não FOR PEDI D MAIS.

ME DESCULPA MAS O PHP EU SÓ SEI O BASICO, ESSAS COISAS QUE EU TO EXIGINDO FOI A PEDIDO DA SUA AJUDA E MAIS O LIVRO QUE EU TO LENDO. QUE NO CURSO SÓ APRENDI PARTE D CONEXAO COM O BANCO, E VALIDAÇÕES FORAM BEM POUCOS.

OBRIGADO

Editado Maio 11, 2007 por cloba

[ESerra]

Você quer exemplo? Ok (ler o manual deve ser algo realmente muito dificil...):

$value = 'something from somewhere';
setcookie("TestCookie", $value);

Pronto, obviamente $value será o nome do usuário e TestCookie deverá ser o nome que você quer definir para o cookie do usuário...

[cloba]

'something from somewhere' é um comando fixo?? que vai guarda o nome do usuario

e isso eu incremento no arquivo valida cookies??

[ESerra]

something from somewhere (qualquer coisa de qualquer lugar) é apenas a frase que utilizaram de exemplo ... ou seja, ai seria o nome do usuário...

Quanto ao lugar onde você vai ter que utilizar, é no lugar onde você criar os cookies se os dados informados pelo usuários forem corretos...