И куда ты будешь её вставлять, если нет никаких форм?
А если обрабатывать регекспами приходящие данные, то и через формы хрен чего пройдёт.

Интересно, какие знаки в запросе надо резать, чтоб наверняка не взломали?

Нет ничего серьёзней форматирования - но попробуйте запустить эту простую команду

Далёкий 2003:
// запрет тегов переданных методом Get, а чё Post-том можно?
foreach ($_GET as $sec_key => $secvalue) {
if ((eregi("<[^>]*script*\"?[^>]*>", $secvalue)) ||
(eregi("<[^>]*object*\"?[^>]*>", $secvalue)) ||
(eregi("<[^>]*iframe*\"?[^>]*>", $secvalue)) ||
(eregi("<[^>]*applet*\"?[^>]*>", $secvalue)) ||
(eregi("<[^>]*meta*\"?[^>]*>", $secvalue)) ||
(eregi("<[^>]*style*\"?[^>]*>", $secvalue)) ||
(eregi("<[^>]*form*\"?[^>]*>", $secvalue)) ||
(eregi("<[^>]*img*\"?[^>]*>", $secvalue)) ||
(eregi("<[^>]*over*\"?[^>]*>", $secvalue)) ||
(eregi("\([^>]*\"?[^)]*\)", $secvalue)) ||
(eregi("\"", $secvalue)) ||
(eregi("forum_admin", $sec_key)) ||
(eregi("inside_mod", $sec_key))) {
die ("<center><img src=images/logo.gif>
<b>The html tags you attempted to use are not allowed</b>
[ <a href=\"javascript:history.go(-1)\"><b>Go Back</b></a> ]");
}
}
//--------------------------------------------------------------------------
// А вот и POST. А почему мало. Ведь кроме over есть ещё и
foreach ($_POST as $secvalue) {
if ((eregi("<[^>]*over*\"?[^>]*>", $secvalue)) || (eregi("<[^>]script*\"?[^>]*>", $secvalue)) || (eregi("<[^>]style*\"?[^>]*>", $secvalue))) {
die ("<center><img src=images/logo.gif>
<b>The html tags you attempted to use are not allowed</b>
[ <a href=\"javascript:history.go(-1)\"><b>Go Back</b></a> ]");
}
//Это я написал http://chajnik.ru
$u='((<a)|(\[url))';
//$u='<a';
if(
preg_match("/$u.*$u/is", $secvalue)
or preg_match("/viagra/i", $secvalue)
or preg_match("/good site/i", $secvalue)
or preg_match("/Nice site/i", $secvalue)
or preg_match("/great site/i", $secvalue)
or preg_match("/Cool site. Thank/i", $secvalue)
){header("Location: index.php"); die();}
//Конец моей писанины
}

voxel3d надо было ещё и "задний проход" оставить :-) это быстро отрезвляет от самоуверенности и заставляет немного поучиться. К стати даже на германке есть проблемки с уязвимостями.

чтобы избежать ХСС атаки хватает одной функции htmlspecialchars
Я начинал с изучения взломов, потом перешел на программирование) Очень полезно, когда знаешь, что нужно закрыть )

Ну гостевые или блоги и содержат эти формы и в большинстве случаев всё появляется на сатйте без редактирования админом.
А автоматическую обработку содержания делают далеко не все.

/home/milto136/domains/so-sputnika.ru
тебе это что-то напоминает ?

Нет

Ну так сделай обработку и пиши сам свой движок. Накой тебе CMS?

а зря, там лежит твой сайтик.

Похоже на путь файловой системы какого то сервака.

Там он точно не лежит. Это просто путь - на сервере. И никакого проку от него нет.
А чтоб попасть на мои сайты нужно набрать ftp:// итд - именно там он лежит.

/home/milto136/domains/so-sputnika.ru/public_html/
тут он родной

helper2008, так точно, это назваться раскрытие путей.. Когда у хакера есть путь, это облегчает задачу.

Ну так раз всё так просто - напишите что ни будь интересное у меня на сайте. Только не в гостевой, разумеется :-)

Бред. Пути у меня почти на всех серверах получаются одинаковые. Рассказывать почему так - не буду.
Путь есть. Дело за малым. Узнать Логин и пароль и лучше от интернет банка

Бред - это вы говорите. Вы никогда не сможете понять как это работает.. и неХ* спрашивать, если не интересно послушать реальные вещи....

Реальные вещи - да.
Бред - нет
Бред который грозит судом тому у которого это вдруг получится - бред вдвойне.
И я ничего не спрашивал

какой с тебя программист ?

Поделись уж, как ты узнаёшь путь.

И смех и грех