Gästebuch-Eintrag per E-Mail

[MudGuard]

Hi,

Insofern ist also eine Whitelist vorzuziehen.
Blacklist bringt gar nichts wenn man sich nicht 100%ig auskennt und wenn dem so wäre würde man so eine Frage nicht stellen, eine Whitelist ist sicher besser, aber wie stellt Ihr euch das vor? Entweder man schreibt den PHP-Parser nach so dass man nur Funktionnamen in die Whitelist schreiben braucht, aber das ist sicher nicht ganz so einfach. Wenn man den kompletten Code nur parst, was macht Ihr dann mit sowas:
echo 'mit shell_exec, eval, etc. kann man böse Dinge anrichten...';
willst Du alle Wörter die ausgegeben werden könnten auf eine Whitelist schreiben?

Nein - wenn man PHP parst, parst man natürlich Stringliterale als Stringliterale. Und nicht als ausführbaren Code.

cu,
Andreas