Веб [DLE] Перевод денег между игроками

Всем привет, пользователи русского ведра... От нечего делать, я сделал скрипт для своего проекта. Может кому пригодится, может кто - нибудь дополнит им свой лк, вообще качайте кому надо!

История релизов:

Скачать релизы:
v1.2
v1.3
v1.4

Установка:
1) Перемещаем папку "rurper" в "/engine/modules/"
(должно получиться так: /engine/modules/rurper/)
2) Файл "Запрос.sql" импортируем в базу данных
3) Настраиваем "config.php"
5) Создаём стат. страницу и внутри вписываем:
{include file="/engine/modules/rurper/index.php"}
И обязательно выбираем Исходный текст HTML без фильтрации и изменений.

С ув. Алмазик

 

Мне нрав держи +

 

Не видел раньше такого

 

Прост очень. Было бы лучше с проверками регистрации и т.д.

 

Ты имеешь ввиду, зарегистрирован ли пользователь, которому хочешь перевести деньги? Если да, то там имеется такая проверка.

 

Нет. Время которое прошло с регистрации, сколько отыграл на сервере или что-то в этом духе.

 

5.4) Флуд. Для "лайка" есть соответствующая кнопка

 

Спасибо, нигде не видел такое.

 

Было бы хорошо, если бы ты сделал его на чистом HTML
Не люблю я ваши движки для сайтов...

 

UP

 

Хотя бы mysql_real_escape_string и !preg_match на POST-запросы поставь.

 

О да ломай меня полностью :trf:. Дырявый скрипт .

 

UP.
Поставил стандартную защиту Dle:

 

Сделай UPD:
Во первых, html-код в самый верх скрипта засунь.
Во-вторых, хотя бы сделай так

Код:

    $chislo = mysql_real_escape_string($_POST['chislo']);
    $userplayer = mysql_real_escape_string($_POST['playername']);

В-третьих, нужно поставить это до "include ('config.php');", чтобы не нагружать БД ненужными запросами.

Код:

if(isset($_POST['perevodb']))
    {

В-четвертых, зачем $ot_kogo = "$username";?

 

Я лично пользуюсь, бд нифига не нагружает, да и какое дело где html код?

- Тупанул, да и в прочем тут ничего такого нет.

Не вижу никакой разницы в моём скрипте и этом коде!

 

У тебя:

Код:

    $chislo = $_POST['chislo'];
    $userplayer = $_POST['playername'];

А у меня:

Код:

$chislo = mysql_real_escape_string($_POST['chislo']);
    $userplayer = mysql_real_escape_string($_POST['playername']);

Вот в эти запросы я могу внедрить код:

Код:

$query = "select * from `$db_table` where `name` = '$userplayer'";
mysql_query("UPDATE dle_users SET realmoney=realmoney+$chislo WHERE name='$userplayer'")or die(mysql_error());
$sql = mysql_query("SELECT user_id FROM dle_users WHERE name='$userplayer'");
mysql_query("INSERT INTO dle_pm (id, subj, text, user, user_from, date, pm_read, folder) VALUES (NULL, '$subj', '$text', '$komu', '$ot_kogo', '$time', 0, 'inbox')")or die(mysql_error());

Можно вытащить любые данные из БД и даже внести изменения. И все потому, что забыл добавить фильтрование кавычек и слэшей перед вставкой в mysql-запрос.

Зачем инклудить PM.php? "include('pm.php');"

 

Классная штука, ващееее

 

Да видно же что чел новичок и ничего не знает . А патом все будут ныть в теме что их взломали :trf:.
Стандартная защита о да я прям валяюсь от смеха
if (! defined ( 'DATALIFEENGINE' )) {
die ( "Hacking attempt!" );
}

 

:fp:, я твой Minecraft-Build ломал :trf:

 

:fp: ты про что?