Warning: Cannot modify header information

mauro770 · #1 (**permalink**) 04/11/2009, 15:29

hola que tal estaba leyendo un poco sobre la inyeccion por ahi ... y lei que probando este codigo :

Código PHP:

  <? 

if(!isset($_GET["inyeccion"])){ 

 header("location: ?inyeccion='"); 

} else { 

 echo 'Tu servidor '; 

 if($_GET["inyeccion"] != "'")echo 'no '; 

 echo 'tiene problemas de inyección'; 

} 

?>

y dependiendo su mensaje es que estas o no estas seguro de la inyeccion por barra de navegacion.
y lo que a mi me salto fue esto :

Código HTML:

Warning: Cannot modify header information - headers already sent by (output started at /home/user/public_html/rere.php:9) in /home/user/public_html/rere.php on line 11

queria saber que significa esto ( creo que es mas q seguro que dice q estoy protejido pero por las dudas ... ) y queria saber hasta q punto es sierto esto ...
cuando uno comenta todos aprenden

muchas gracias desde ya.

_-ZeuS-_ · #2 (**permalink**) 04/11/2009, 15:33

es un problema cuando no puedes modificar la información del header de php sabes que para solucionarlo hice una función que hace esto:

Código PHP:

  function page_forward($url){
    header('Location: '.$url);
    exit;
}

y lo guardo en un archivo ke siempre anda por mi sistema o en su defecto hazlo kon javascript

echo "<script> window.location='pagina.php'</script>";
creo que es algo así

poos · #3 (**permalink**) 04/11/2009, 15:36

para que te de ese error tienes que tener algo mas en tu codigo, por si solo no debe darte problemas

mauro770 · #4 (**permalink**) 04/11/2009, 15:46

curiosamente solo tengo esto en el archivo:

Código PHP:

 
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

<html xmlns="http://www.w3.org/1999/xhtml">

<head>

<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />

<title>Documento sin t&iacute;tulo</title>

</head>

 
<body>

<p><?PHP

if(!isset($_GET["inyeccion"])){ 

 header("location: ?inyeccion='"); 

} else { 

 echo 'Tu servidor '; 

 if($_GET["inyeccion"] != "'")echo 'no '; 

 echo 'tiene problemas de inyección'; 

} 

?>

 
 
</body>

</html>

zeus voy a probar lo que me comentas.

slaudos

poos · #5 (**permalink**) 04/11/2009, 15:53

pues claro!

por eso te preguntaba, no podes imprimir nada antes de hacer un header location.

el header tiene que ejecutarse antes de que salga algo en pantalla

poos · #6 (**permalink**) 04/11/2009, 15:56

fijate esto:

Cita:

<?PHP
if(!isset($_GET["inyeccion"])){
header("location: ?inyeccion='");
} else {
$texto= 'Tu servidor ';
if($_GET["inyeccion"] != "'") $texto.= 'no ';
$texto.= 'tiene problemas de inyección';
}
?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>Documento sin título</title>
</head>

<body>
<p>

<?
echo $texto;
?>
</body>
</html>

mauro770 · #7 (**permalink**) 04/11/2009, 16:01

haaaaa .. poos tenias razon , ahora funciona , y me dice q no tengo problemas de inyeccion ... me podrias explicar un poco que es lo que hace esto ? me doy una idea , pero no entiendo mucho el tema de defenza de la inyeccion .

twisthack · #8 (**permalink**) 04/11/2009, 16:02

Es un warning esto se debe a que alomejor no as definido

Código PHP:

   header("location:?inyeccion='");

es decir poner tu header asi

Código PHP:

  header("location:turl?inyeccion='");

Pero como sabemos un warning no es un error y ahy servidores que los dejan pasaar
es lo unico que se me ocurre porque en mi local no me da error tu codigo ni de la forma que lo tienes tu ni de la forma que lo puse yo

poos · #9 (**permalink**) 04/11/2009, 16:03

en realidad nada :(

lo unico que hace es preguntar si el texto que le envias por GET tiene comillas simples. Lo cual "podria ser peligroso" pero te recomiendo busques mas info en google :)

twisthack · #10 (**permalink**) 04/11/2009, 16:08

yO Te recomiendo expreciones regulares para prevenir Inyecciones ejemplo

Código PHP:

   id=ereg_replace("[^A-Za-z0-9_]","",$id);

eso te ahorrara muchos dolores de cabeza que hace? remplaza todo lo que no sea numero o letra por blanco Saludos

oso96_2000 · #11 (**permalink**) 04/11/2009, 16:20

O mas sencillo, si el dato tiene que ser un valor entero, conviertelo a tal :)

Código php:

Ver original$id = (int) $_GET['id'];
o
$id = intval($_GET['id']);

En cuanto al código ese, me parece que lo que prueba es si está activado el magic_quotes del php.ini, de estarlo, una comilla simple te las convertiría a algo como \'

poos · #12 (**permalink**) 04/11/2009, 16:22

no entiendo por que tanta vuelta con ese script :(

lo unico que hace esta linea
if($_GET["inyeccion"] != "'")

es preguntar si el valor de $_GET["inyeccion"] es distinto a una comilla simple

mauro770 · #13 (**permalink**) 04/11/2009, 16:28

ha ya me va quedando mas claro todo , gracias a todos , todas las recomendaciones las voy a adoptar y ahora entiendo el sentido del script ;) :D , igualmente quien sepa algo mas siempre es bienvenido :)