Скиньте ДЫРКО-КОД

Всем привет,кто нибудь скиньте код где присутствует дырка(уязвимость)
Добавлено 31.05.14 в 07:54:54:
P.s хочю просто посмотреть что как там и попытатся исправить

GET ['id']
Пойдет?

да

if(isset($_REQUEST['ok']))
{
mysql_query('insert into `test` set `text` = "'.$_POST['text'].'"');
}
echo '<form method="POST">
<input type="text" name="text" /><br /><input type="submit" name="ok" value="Написать" />
</form>';

чтобы дырки небыло нужно просто при ззаписи в базу профильтрировать $_POST['text'] это выглядить будет так
mysql_query('insert into `test` set `text` = "'.mysql_real_escape_string(htmlspecialchars($_POST['text'])).'"');

Изм. 1 раз. / Посл. изм.

-=MTV=- [мошенник] 3.56

(31 май 2014, 07:58)

if(isset($_REQUEST['ok']))
{
$text = mysql_real_escape_string(htmlspecialchars($_POST['text']));
mysql_query('insert into `test` set `text` = "'.$text.'"');
}
echo '<form method="POST">
<input type="text" name="text" /><br />
<input type="submit" name="ok" value="Написать" />
</form>';
Исправил?

и это xss называется?

Ну а если пдо используешь чистое,то можно запрос делать так

$sql = prepare('insert into `test` set `text` = ?');
$sql = execute(array($_POST['text']));

В данном случае параметр execute и есть фильтрация,тоесть он соблюдает символы в строке

Да,это и есть хсс

это удобней

http://profiwm.com/codes/code.php?id=53