Вообщем нужна помощь по правильному написанию скрипта под воблу.


Суть хака: Список IP адресов,с которых входили в мой профиль.

Пример _http://forum.antichat.net/myip.php

Искал по форуму,но не нашел.Решил реализовать сам.
Имею понятие что такое php\mysql.
Но вот к синтаксису воблы еще не привык.
поэтому прошу помочь:

Хак прикреплен снизу.

1.Импортируем Хак product-myip.xml

2.
В файле login.php
После строк:

PHP Code:

    $vbulletin->input->clean_array_gpc('p', array(
        'vb_login_username'        => TYPE_STR,
        'vb_login_password'        => TYPE_STR,
        'vb_login_md5password'     => TYPE_STR,
        'vb_login_md5password_utf' => TYPE_STR,
        'postvars'                 => TYPE_BINARY,
        'cookieuser'               => TYPE_BOOL,
        'logintype'                => TYPE_STR,
        'cssprefs'                 => TYPE_STR,
    )); 


Вставляем:

PHP Code:

     $un1=&$vbulletin->GPC['vb_login_username'];  $un2 = date("d.m.y H.i.s");
        $row=$db->fetch_array("Select * From " . TABLE_PREFIX . "myip Where user_login='".$un1."'"));

$sql = mysql_query("INSERT INTO myip (`user_login` ,`ip` ,`date` ,`user_agent`) VALUES ('".$un1."', '".$_SERVER['REMOTE_ADDR']."', '".$un2."', '".$_SERVER["HTTP_USER_AGENT"]."');");} 


Все работает.запись в БД идет.Но вот проблема с выводом результатов.
С ключевым файлом miyp.php
Немогу понять как сделать вывод шаблона к коду.


Файл myip.php :

PHP Code:

<?php
/*=========================================*/
/* What Visited my profile                 */
/* For vBulletin 3.8.x                     */
/* by Stenli (http://HackForce.Ru )        */
/*=========================================*/

// ####################### SET PHP ENVIRONMENT ###########################
error_reporting(E_ALL & ~E_NOTICE);

// #################### DEFINE IMPORTANT CONSTANTS #######################
define('THIS_SCRIPT', 'myip');
define('CSRF_PROTECTION', true);

// ################### PRE-CACHE TEMPLATES AND DATA ######################
// get special phrase groups
$phrasegroups = array(
     'user',
);

// get special data templates from the datastore
$actiontemplates = array();

// pre-cache templates used by specific actions
$globaltemplates = array(
      'myip_s'
);
// ######################### REQUIRE BACK-END ############################
require_once('./global.php');


$un1=&$vbulletin->userinfo['username'];

$rd=mysql_query("SELECT * FROM " . TABLE_PREFIX . "myip WHERE user_login = '".$un1."'
        ");
while($rop=mysql_fetch_array($rd){
        echo''.$rop['ip'].' - '.$rop['date'].' ('.$rop['user_agent'].' )<br>';
        
}
$rop['ip'] = &$vbulletin->GPC['ip'];
$rop['date'] = &$vbulletin->GPC['date'];
$rop['user_agent'] =&$vbulletin->GPC['user_agent'];
$vbphrase['ip'] =construct_phrase($rop['ip']);
$vbphrase['date'] =construct_phrase($rop['date']);
$vbphrase['user_agent'] =construct_phrase($rop['user_agent']);

?>

Сообщствено прошу помощи людей,у которых есть навыки,опыт - помочь мне с выводом кода в шаблоне.
Сам шаблон есть в файле .xml и импортируется автоматически.

Так это в принципе в любом файле воблы почти есть:

eval('print_output("' . fetch_template($templatename) . '");');

Originally Posted by StenLi

$sql = mysql_query("INSERT INTO myip (`user_login` ,`ip` ,`date` ,`user_agent`) VALUES ('".$un1."', '".$_SERVER['REMOTE_ADDR']."', '".$un2."', '".$_SERVER["HTTP_USER_AGENT"]."');");}

и сразу получаем дырку в безопасности... Иньекцию сделать очень просто. Надо экранировать данные в передаваемых sql-запросах. В данном случае $_SERVER["HTTP_USER_AGENT"] и user_login
Да и как вариант можно глянуть код самой булки там кстати все очень хорошо с описаниями и комментами внутри кода.
вместо $rd=mysql_query лучше использовать методы булки а именно $db->query
аналогично и с $rop=mysql_fetch_array
т.е. вместо

PHP Code:

$sql = mysql_query("INSERT INTO myip (`user_login` ,`ip` ,`date` ,`user_agent`) VALUES ('".$un1."', '".$_SERVER['REMOTE_ADDR']."', '".$un2."', '".$_SERVER["HTTP_USER_AGENT"]."');");} 


должно быть что-то типа

PHP Code:

$sql = $db->query_write("INSERT INTO myip (`user_login` ,`ip` ,`date` ,`user_agent`) VALUES ('".$db->escape_string($un1)."', '".$_SERVER['REMOTE_ADDR']."', '".$un2."', '".$db->escape_string($_SERVER["HTTP_USER_AGENT"])."');");} 


И еще - неэффективно использовать для хранения имя пользователя - не проще ли юзать userid? Имя же и смениться может.

Yoskaldyr, и это ты будешь говорить мне, где можно получить скулю а где нет?)))) гг

И еще - неэффективно использовать для хранения имя пользователя - не проще ли юзать userid? Имя же и смениться может.

а вот за это спасибо! учту.

StenLi, Я не учу, я просто говорю где уже есть дырка )))
Я без понятия какой код будет потом, когда будет полностью готов, но я просто предупредил, где уже есть прокол в безопасности

Yoskaldyr добавил 25.03.2010 в 16:28

Originally Posted by StenLi

и это ты будешь говорить мне

И неужели у меня так много дырявых хаков? А если и есть дырки, то почему бы о них и не сообщить? Оффтоп

Можно в личку чтобы не засорять топик

А если речь идет о том что ты специализируешься по взломам (судя по твоему ресурсу), то это же не исключает того что ты и сам можешь наступить на собственные грабли. Все допускают ошибки и в программировании в том числе, главное уметь их признавать и по возможности исправлять.

Originally Posted by StenLi

и это ты будешь говорить мне, где можно получить скулю а где нет?

ну если твой скрипт дырявый как решето, то почему бы не сказать?

kerk, было выложено для примера.чтоб люди если хотели бы помочь,то попробывали затестить и отредачить файл myip.php как нужно.
т.к. проблема именно с ним,а не с парочкой запросов\записей к бд

ты считаешь, что дырки в "примере" стимулируют?
по моему, чем грамотней написан скрипт, тем больше желания в нем разбираться у тех, кто в этом "шарит" или нет?
на ошибки тебе указали, поправь, будем смотреть дальше...

Originally Posted by StenLi

то попробывали затестить и отредачить файл myip.php как нужно.

ответ на вопрос что именно надо отредактировать был уже во втором посте (пост Fedcomp-а). А если говорить более конкретно, то должно быть 2 шаблона - первый для отображения самой страницы (уже есть myip_s), второй для отображения строки результатов, надо создать, к примеру будет myip_s_bits (шаблон нужен чтобы не городить эти циклические echo - будет циклическое добавление к переменной $myipbits)

Т.е. вместо echo делаем что-то типа: eval('$myipbits.="' . fetch_template('myip_s_bits') . '";');
А в конце делаем (только не забыв добавить в шаблон myip_s переменную $myipbits)
eval('print_output("' . fetch_template('myip_s') . '");');



Я вообще себе ничего не ставлю предварительно не просмотрев код, т.к. по статистике более 70% кода всех vb хаков - мрак полнейший. Проверять код хаков перед установкой теперь у меня уже привычка.
Да и вообще зачем ставить если и так понятно что делает код (синтаксические ошибки в виде пропущенных или добавленных скобок, запятых и т.п. - не в счет)

Originally Posted by StenLi

нужна помощь по правильному написанию скрипта под воблу.

И как мне кажется я ответил насчет специфики написания именно под воблу.
А именно: использовать функи мускуля напрямую совсем не универсально (может форум через mysqli настроен), лучше использовать предназначенные для этого методы, также я написал для примера как экранировать используя классы булки и самое главное было на чем это показать, т.к. понятно что код сырой и он не для продакшена. Т.е. в будущем я уверен автор запрос бы экранировал, но опять же скорее всего стандартными функами PHP, что не есть vb-стиль написания

Originally Posted by Yoskaldyr

скорее всего стандартными функами PHP, что не есть vb-стиль написания

Ну вот для этого и я спрашиваю,читаю....очень трудно и неудобно начать писать под воблу.
за пост №9 спасибо