eliminar las comillas de una consulta sql.

[waty90]

hola wenas! miren es que uso un scripts de hosting en php y el codigo tiene un bugs que deja al descubierto el codigo fuente de la aplicacion asi como los archivos de configuracion de la base de datos .etc

el hosting crea una subcarpeta del tipo: http://unaweb.com/hosting/nombre_usuario

aqui os pongo una dirrecion de ejemplo desde donde podria editar su web un usuario: http://www.unaweb.es/members.php?act=view&p=index.php
desde aqui accede a un panel para gestionar su espacio

pero si el usuario pone lo mismo: http://www.unaweb.es/members.php?act=view&p=index.php y añade esto otro &dir=/test/../../..
accede a mi carpeta raiz,lo que necesito es eliminar la variable> &dir=/test/../../.. que es la que permite que el usuario acceda al contenido privado.
si hay alguna forma de eliminar las /../../ o algo que sirva.

espero que alguien me pueda ayudar
muchas gracias de antemano.

[elchicosinhada]

Si tienes acceso al código (que supongo que si) puedes hacer algo tan sencillo como:

$dir = $_GET['dir'];
$dir = replace ("..", "", $dir);

Cambia $dir por la variable que use....
Es algo cutre, pero supongo que te funcionará.

[waty90]

muchas gracias por responder , eh intentado incorporar el codigo que me dejaste:

$dir = $_GET['act'];
$dir = replace ("..", "", $dir);

pero no me funciona posiblemente lo haya puesto mal
aqui dejo el codigo donde debo incorporarlo ,si puedes indicarme donde iria colocado .muchisimas gracias por tu ayuda.

te dejo la dirrecion del codigo :

http://ndckrew.es/archivos/codigo.txt

saludos gracias

[elchicosinhada]

$act=$HTTP_GET_VARS['act'];
$act = replace ("..", "", $act);


Tienes que guardarlo sobre act, de lo contrario act seguirá igual y no valdrá de mucho xD

[waty90]

hola perdona por no contestarte antes es que trabajo casi todo el dia y me es imposible.
bueno pues nada, que sigo sin conseguir remplazar las comillas
nose que hago mal lo intentado colocar en varias zonas aunque creo que la que te muestro aqui es la mas apropiada ,si hay otra solucion o algo q pueda
estar haciendo mal .

muchas gracias y perdon por ser tan pesao .

<?
extract($HTTP_GET_VARS);
extract($HTTP_POST_VARS);
$root="users/$udir";
$act=$HTTP_GET_VARS['act'];
$act = str_replace ("/../", "", $act);
if($act==""){
//echo "<center>Welcome $inf[uname]</center>";
$allowed_spc=$um[0]/1024;
$link1=getenv(HTTP_HOST);
$link="http://web.mundoloko.es/$udir/";