url hacking

Simpelweg je $_GET beveiligen

Stuur je url even per pm, kan dit gelijk voor je controleren

als je het simpel wil oplossen heb ik hier een anti-injectie voor je.

$url = substr($_SERVER['REQUEST_URI'], 1); 
if(eregi("'", $url) or eregi("mysql", $url) or eregi("<", $url) or eregi(">", $url) or eregi(")", $url) or eregi("query", $url) or eregi("mysql", $url) or eregi('"', $url) or eregi('config', $url) or eregi('ingelogd', $url) or eregi("query", $url)){ 


echo "Jou error bericht.";
exit;
}

Deze code werkt niet als je php 5.4 of hoger gebruikt.
hier is dan een oplossing voor je : http://takien.com/513/how-to-f…precated-in-php-5-3-0.php

Ik kan je niet garanderen dat het ook 100% veilig werkt.

Wat staat er in je apache (error) log?

En gewoon in je access log?

Iemand die gewoon bij je crons kan? Want wat gebeurt er precies. Wat denk jij dat 'gehackt' is zeg maar.

Komt dus omdat je cron niet beveiligd is en deze blijft zich refreshen. Hierdoor wordt de bankrente telkens uitgevoerd.

1. een veilige locatie kies iets anders dan de verwachte _cron-day.php naam.
2. een wachtwoord beveiliging : dit doe je door boven je include van de cron als dit in het configratie bestand gebeurt een if te plaatsen zoals.

$cron_pass = "jouwachtwoord";

en dan in de cron.

if($cron_pass == "jouwwachtwoord"){
// cron
}else{
echo "error ga hier weg!";
// eventuele ip log.
}

Citaat van eeyk

1. een veilige locatie kies iets anders dan de verwachte _cron-day.php naam.
2. een wachtwoord beveiliging : dit doe je door boven je include van de cron als dit in het configratie bestand gebeurt een if te plaatsen zoals.

PHP

$cron_pass = "jouwachtwoord";

en dan in de cron.

PHP

if($cron_pass == "jouwwachtwoord"){
// cron
}else{
echo "error ga hier weg!";
// eventuele ip log.
}

Een wachtwoord erop zetten? Zet het gewoon op een plek waar men niet bij kan.

Overigens, met een goed ingestelde cronjob heb je geen wachtwoord nodig, aangezien dat niet via een config bestand gebeurt.

Nee maar ik gok dat het bij hem wel via de config gebeurt. bij mij gaat het via mijn admin paneel waar ik dat heb ingesteld.

BrokenTrack ik zeg het nogmaals geef niet op ieder berichtje dat ik stuur een commentaar waar je geen moer aan heb.

Citaat van eeyk

Nee maar ik gok dat het bij hem wel via de config gebeurt. bij mij gaat het via mijn admin paneel waar ik dat heb ingesteld.

BrokenTrack ik zeg het nogmaals geef niet op ieder berichtje dat ik stuur een commentaar waar je geen moer aan heb.

Sorry dat ik jouw manier verre van ideaal vind.
Ik heb liever dat de TS het goed doet

Citaat van BrokenTrack

Ik heb liever dat de TS het goed doet

Agreed.

Als je cronjobs kan instellen bij je host, doe dat dan.
Het is veel betrouwbaarder. Een stuk veiliger als je het script tenminste buiten de webroot zet/checkt of het via de commandline gerunt wordt.
En een stuk mooier.
http://net.tutsplus.com/tutori…ing-tasks-with-cron-jobs/