能够使用.php作为图像扩展的人

Question

事情是这样的，任何人只要将.png放在链接的末尾，就可以使用任何类型的扩展。

http://rsps50.com/logout.php?.png是有人正在使用的自动取款机，这导致我的网站上的每个人，如果他们访问主页注销。

这是我试着把它挖出来的，但没有用。

if (empty($_POST['banner'])) {
  echo '<font color="red">Please add a banner for your server</font><br />';
  $b = FALSE;
} else if (strpos($b, '.php') !== false) {
  echo 'You can only use image extentions';
  $b = 'http://image.com/image.png';
} else {
  $b = strip_tags($_POST['banner']);
}

我应该注意，我不允许上传图像，我使用输入字段，然后回显链接。

<input name="banner" value="<?php if (isset($_POST['banner'])) echo $_POST['banner']; ?>" class="form-control" accept="image/x-png, image/gif, image/jpeg" type="text" placeholder="http://example.com/example.png" required>

有什么想法吗？谢谢

Answer 1

在为变量赋值之前使用变量$b。

因此，第四行应该是：

} else if (strpos($_POST['banner'], '.php') !== false) {

如果您想寻找除.php之外的其他扩展，可以使用如下所示的Regex：

} else if (preg_match("/\.(?:html|php|asp|js)/i", $_POST['banner'])) {