webinterface.git

1) <?php
2) 

3) require_once('inc/db_connect.php');
4) 

5) 
6) function db_query($query)
7) {
8)   DEBUG($query);
9)   $result = @mysql_query($query);
10)   if (mysql_error())
11)   {
12)     $error = mysql_error();

13)     logger("inc/base", "dberror", "mysql error: {$error}");

14)     system_failure('Interner Datenbankfehler: »'.iconv('ISO-8859-1', 'UTF-8', $error).'«.');

15)   }

16)   $count = @mysql_num_rows($result);
17)   if (! $count)
18)     $count = 'no';
19)   DEBUG("=> {$count} rows");

20)   return $result; 
21) }
22) 
23) 

24) 
25) function maybe_null($value)
26) {

27)   if ($value == NULL)
28)     return 'NULL';
29) 

30)   if (strlen( (string) $value ) > 0)

31)     return "'".mysql_real_escape_string($value)."'";

32)   else
33)     return 'NULL';
34) }
35) 
36) 
37) 

38) function logger($scriptname, $scope, $message)
39) {

40)   global $config;
41)   if ($config['logging'] == false)
42)     return;
43) 

44)   $user = 'NULL';

45)   if ($_SESSION['role'] & ROLE_SYSTEMUSER)

46)     $user = "'{$_SESSION['userinfo']['username']}'";

47)   elseif ($_SESSION['role'] & ROLE_CUSTOMER)

48)     $user = "'{$_SESSION['customerinfo']['customerno']}'";
49)   
50)   $remote = mysql_real_escape_string($_SERVER['REMOTE_ADDR']);
51) 
52)   $scriptname = mysql_real_escape_string($scriptname);
53)   $scope = mysql_real_escape_string($scope);
54)   $message = mysql_real_escape_string($message);
55) 

56)   db_query("INSERT INTO misc.scriptlog (remote, user,scriptname,scope,message) VALUES ('{$remote}', {$user}, '{$scriptname}', '{$scope}', '{$message}');");

57) }
58) 

59) function html_header($arg)
60) {
61)   global $html_header;
62)   $html_header .= $arg;
63) }

64) 

65) function output($arg)
66) {
67)   global $output;
68)   $output .= $arg;
69) }
70) 
71) 
72) function random_string($nc, $a='abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789') {
73)     $l=strlen($a)-1; $r='';
74)     while($nc-->0) $r.=$a{mt_rand(0,$l)};
75)     return $r;
76)  }
77) 
78) 
79) function are_you_sure($query_string, $question)
80) {

81)   $query_string = encode_querystring($query_string);

82)   $token = random_string(20);

83)   $_SESSION['are_you_sure_token'] = $token;

84)   output("<h3>Sicherheitsabfrage</h3>

85)     <form action=\"{$query_string}\" method=\"post\">

86)     <div class=\"confirmation\">
87)       <div class=\"question\">{$question}</div>
88)       <p class=\"buttons\">
89)         <input type=\"hidden\" name=\"random_token\" value=\"{$token}\" />
90)         <input type=\"submit\" name=\"really\" value=\"Ja\" />

91)            

92)         <input type=\"submit\" name=\"not_really\" value=\"Nein\" />
93)       </p>
94)     </div>");

95)   output("</form>\n");

96) }
97) 
98) 
99) function user_is_sure()
100) {
101)   if (isset($_POST['really']))
102)   {

103)     if ($_POST['random_token'] == $_SESSION['are_you_sure_token'])

104)       return true;
105)     else
106)       system_failure("Possible Cross-site-request-forgery detected!");
107)   }
108)   elseif (isset($_POST['not_really']))
109)     return false;
110)   else
111)     return NULL;
112) }
113) 
114) 
115) 

116) function generate_form_token($form_id)
117) {
118)   require_once("inc/debug.php");
119)   $sessid = session_id();
120)   if ($sessid == "") 
121)   {
122)     DEBUG("Uh? Session not running? Wtf?");

123)     system_failure("Internal error!");

124)   }
125)   if (! isset($_SESSION['session_token']))
126)     $_SESSION['session_token'] = random_string(10);

127)   return hash('sha256', $sessid.$form_id.$_SESSION['session_token']);

128) }
129) 
130) 

131) function check_form_token($form_id, $formtoken = NULL)

132) {

133)   if ($formtoken == NULL)
134)     $formtoken = $_POST['formtoken'];

135)   $sessid = session_id();
136)   if ($sessid == "") 
137)   {
138)     DEBUG("Uh? Session not running? Wtf?");

139)     system_failure("Internal error! (Session not running)");

140)   }
141) 

142)   $correct_formtoken = hash('sha256', $sessid.$form_id.$_SESSION['session_token']);

143) 
144)   if (! ($formtoken == $correct_formtoken))
145)     system_failure("Possible cross-site-request-forgery!");
146) }
147) 

148) 

149) function encode_querystring($querystring)

150) {
151)   global $debugmode;
152)   if ($debugmode)

153)     $querystring = 'debug&'.$querystring;

154)   DEBUG($querystring);

155)   $query = explode('&', $querystring);

156)   DEBUG($query);

157)   $new_query = array();
158)   foreach ($query AS $item)
159)     if ($item != '')
160)     {
161)       list($key, $val) = explode('=', $item, 2);

162)       if ($val == '')
163)         $new_query[] = $key;
164)       else
165)         $new_query[] = $key.'='.urlencode($val);

166)     }

167)   DEBUG($new_query);

168)   $querystring = implode('&', $new_query);
169)   if ($querystring)
170)     $querystring = '?'.$querystring;

171)   DEBUG($querystring);

172)   return $querystring;
173) }

174) 

175) 
176) 
177) function internal_link($file, $label, $querystring = '', $attribs = '')
178) {

179)   global $prefix;
180)   if (strpos($file, '/') == 0)
181)   {
182)     $file = $prefix.substr($file, 1);
183)   }

184)   $querystring = encode_querystring($querystring);
185)   return "<a href=\"{$file}{$querystring}\" {$attribs} >{$label}</a>";

186) }
187) 
188) 
189) function html_form($form_id, $scriptname, $querystring, $content)
190) {

191)   $querystring = encode_querystring($querystring);

192)   $ret = '';

193)   $ret .= '<form action="'.$scriptname.$querystring.'" method="post">'."\n";

194)   $ret .= '<p style="display: none;"><input type="hidden" name="formtoken" value="'.generate_form_token($form_id).'" /></p>'."\n";

195)   $ret .= $content;
196)   $ret .= '</form>';
197)   return $ret;  
198) }
199) 
200) 

201) function html_select($name, $options, $default='', $free='')

202) {
203)   require_once('inc/security.php');

204)   $ret = "<select name=\"{$name}\" id=\"{$name}\" size=\"1\" {$free} >\n";

205)   foreach ($options as $key => $value)
206)   {
207)     $selected = '';
208)     if ($default == $key)
209)       $selected = ' selected="selected" ';
210)     $key = filter_input_general($key);
211)     $value = filter_input_general($value);
212)     $ret .= "  <option value=\"{$key}\"{$selected}>{$value}</option>\n";
213)   }
214)   $ret .= '</select>';
215)   return $ret;
216) }
217) 

218) 
219)