Seguridad PHP y Javascript

[lenz]

Tengo un sitio hecho en php que tiene un modulo para horas internacionales en javascript ("Local Time script")
El sitio es simple, el php solo se usa para manejar el menu, es decir toma una variable y determina que pagina html cargar, de la cual hace un include

Código PHP:

  <td width="567" valign="top" class="cuerpo">
            <!-- CUERPO -->
            <?
            $pagina = 'cuerpo.php';
            if (!empty($pag)) {
                $pagina = $pag;
            }
            include ($pagina);
        ?>
            <!-- CUERPO -->
          </td>  

y el codigo javascript una parte es esta

Código:

function showLocalTime(container, servermode, offsetMinutes, displayversion){
	if (!document.getElementById || !document.getElementById(container)) return
	this.container=document.getElementById(container)
	this.displayversion=displayversion
	var servertimestring=(servermode=="server-php")? '<? print date("F d, Y H:i:s", time())?>' : (servermode=="server-ssi")? '<!--#config timefmt="%B %d, %Y %H:%M:%S"--><!--#echo var="DATE_LOCAL" -->' : '<%= Now() %>'
	this.localtime=this.serverdate=new Date(servertimestring)
	this.localtime.setTime(this.serverdate.getTime()+offsetMinutes*60*1000) //add user offset to server time
	this.updateTime()
	this.updateContainer()
}

showLocalTime.prototype.updateTime=function(){
	var thisobj=this
	this.localtime.setSeconds(this.localtime.getSeconds()+1)
	setTimeout(function(){thisobj.updateTime()}, 1000) //update time every second
}

Mi problema es que segun me dice el usuario cada 2 por 3 la pagina es hackeada o desconfigurada, quisiera saber si me podria acesorar sobre como mejorar la seguridad del sitio. Si alguien conoce el modulo en javascript, que me pueda comentar cuan seguro es el mismo.
dejo el link del javascript original

http://www.dynamicdrive.com/dynamicindex6/localtime.htm

Muchas Gracias

[DarioDario]

De donde proviene el valor de la variable $pag? Si no estas comprobando este valor y este valor viene de una fuente no confiable (viene en la URL, osea una variable pasada por $_GET) puedes ser hackeado muy simplemente... basta con cambiarte el valor y ponerte la dirección de un script remoto.

Saludos.

[lenz]

Ok, no estaba verificando de donde venia ese valor, ahora lo compruebo.

Muchas Gracias

[DarioDario]

Iniciado por lenz

Ok, no estaba verificando de donde venia ese valor, ahora lo compruebo.

Muchas Gracias

De todas formas te recomiendo que veas funciones como addslashes(), strip_tags() y algunas más que me olvido.

Saludos.

[lenz]

Ok muchas gracias