Веб [DLE] Перевод денег между игроками

[Almazik0_o]

Всем привет, пользователи русского ведра... От нечего делать, я сделал скрипт для своего проекта. Может кому пригодится, может кто - нибудь дополнит им свой лк, вообще качайте кому надо!

- С помощью этого скрипта игроки смогут переводить реальные деньги друг другу.

История релизов:

v1.4
- Поставил защиту базы данных.
v1.3
- Добавлено оповещение в виде персонального сообщение.
v1.2
Первый релиз!

Скачать релизы:
v1.2
v1.3
v1.4

Установка:
1) Перемещаем папку "rurper" в "/engine/modules/"
(должно получиться так: /engine/modules/rurper/)
2) Файл "Запрос.sql" импортируем в базу данных
3) Настраиваем "config.php"
5) Создаём стат. страницу и внутри вписываем:
{include file="/engine/modules/rurper/index.php"}
И обязательно выбираем Исходный текст HTML без фильтрации и изменений.

С ув. Алмазик

 

[lol]

Мне нрав держи +

 

[fles]

Не видел раньше такого

 

[Googleman]

Прост очень. Было бы лучше с проверками регистрации и т.д.

 

[Almazik0_o]

Прост очень. Было бы лучше с проверками регистрации и т.д.

Ты имеешь ввиду, зарегистрирован ли пользователь, которому хочешь перевести деньги? Если да, то там имеется такая проверка.

 

[Googleman]

Ты имеешь ввиду, зарегистрирован ли пользователь, которому хочешь перевести деньги? Если да, то там имеется такая проверка.

Нет. Время которое прошло с регистрации, сколько отыграл на сервере или что-то в этом духе.

 

[Kela-4D]

Мне нрав держи +

5.4) Флуд. Для "лайка" есть соответствующая кнопка

 

[Gospod]

Спасибо, нигде не видел такое.

 

[mcdima]

Было бы хорошо, если бы ты сделал его на чистом HTML
Не люблю я ваши движки для сайтов...

 

[Almazik0_o]

UP

 

[Konstantin773]

Хотя бы mysql_real_escape_string и !preg_match на POST-запросы поставь.

 

[alexandrage]

О да ломай меня полностью :trf:. Дырявый скрипт .

 

[Almazik0_o]

UP.
Поставил стандартную защиту Dle:

if (! defined ( 'DATALIFEENGINE' )) {
die ( "Hacking attempt!" );
}

 

[Konstantin773]

Сделай UPD:
Во первых, html-код в самый верх скрипта засунь.
Во-вторых, хотя бы сделай так

    $chislo = mysql_real_escape_string($_POST['chislo']);
    $userplayer = mysql_real_escape_string($_POST['playername']);

В-третьих, нужно поставить это до "include ('config.php');", чтобы не нагружать БД ненужными запросами.

if(isset($_POST['perevodb']))
    {

В-четвертых, зачем $ot_kogo = "$username";?

 

[Almazik0_o]

Я лично пользуюсь, бд нифига не нагружает, да и какое дело где html код?

$ot_kogo = "$username";

- Тупанул, да и в прочем тут ничего такого нет.

1. $chislo = mysql_real_escape_string($_POST['chislo']);
2. $userplayer = mysql_real_escape_string($_POST['playername']);

Не вижу никакой разницы в моём скрипте и этом коде!

 

[Konstantin773]

Не вижу никакой разницы в моём скрипте и этом коде!

У тебя:

    $chislo = $_POST['chislo'];
    $userplayer = $_POST['playername'];

А у меня:

$chislo = mysql_real_escape_string($_POST['chislo']);
    $userplayer = mysql_real_escape_string($_POST['playername']);

Вот в эти запросы я могу внедрить код:

$query = "select * from `$db_table` where `name` = '$userplayer'";
mysql_query("UPDATE dle_users SET realmoney=realmoney+$chislo WHERE name='$userplayer'")or die(mysql_error());
$sql = mysql_query("SELECT user_id FROM dle_users WHERE name='$userplayer'");
mysql_query("INSERT INTO dle_pm (id, subj, text, user, user_from, date, pm_read, folder) VALUES (NULL, '$subj', '$text', '$komu', '$ot_kogo', '$time', 0, 'inbox')")or die(mysql_error());

Можно вытащить любые данные из БД и даже внести изменения. И все потому, что забыл добавить фильтрование кавычек и слэшей перед вставкой в mysql-запрос.

Зачем инклудить PM.php? "include('pm.php');"

 

[mandaga]

Классная штука, ващееее

 

[alexandrage]

У тебя:

    $chislo = $_POST['chislo'];
    $userplayer = $_POST['playername'];

А у меня:

$chislo = mysql_real_escape_string($_POST['chislo']);
    $userplayer = mysql_real_escape_string($_POST['playername']);

Вот в эти запросы я могу внедрить код:

$query = "select * from `$db_table` where `name` = '$userplayer'";
mysql_query("UPDATE dle_users SET realmoney=realmoney+$chislo WHERE name='$userplayer'")or die(mysql_error());
$sql = mysql_query("SELECT user_id FROM dle_users WHERE name='$userplayer'");
mysql_query("INSERT INTO dle_pm (id, subj, text, user, user_from, date, pm_read, folder) VALUES (NULL, '$subj', '$text', '$komu', '$ot_kogo', '$time', 0, 'inbox')")or die(mysql_error());

Можно вытащить любые данные из БД и даже внести изменения. И все потому, что забыл добавить фильтрование кавычек и слэшей перед вставкой в mysql-запрос.

Зачем инклудить PM.php? "include('pm.php');"

Да видно же что чел новичок и ничего не знает . А патом все будут ныть в теме что их взломали :trf:.
Стандартная защита о да я прям валяюсь от смеха
if (! defined ( 'DATALIFEENGINE' )) {
die ( "Hacking attempt!" );
}

 

[Konstantin773]

:fp:

:fp:, я твой Minecraft-Build ломал :trf:

 

[wergio28]

:fp:, я твой Minecraft-Build ломал :trf:

:fp: ты про что?