Чем чреват прямой вызов скрипта? - Безопасность сайтов на Joomla

Сделал на сайте форму отправки данных с капчей. На на кнопку "отправить" пишу такой код:
.....................
<img src='Scripts/capcha.php' id='capcha-image'>
<br />
<a href="javascript:void(0);" onclick="document.getElementById('capcha-image').src='Scripts/capcha.php?rid=' + Math.random();">
<small>показать более понятную картинку</small></a>
<br />
<br />
<span>Введите пожалуйста символы с картинки:</span>
<br /><input type="text" name="code" maxlength="6">
<br />
<P><input type="submit" name="go" value="Оптравить"/></P>
....................
Все работает нормально. Но как видно из свойств генерируемой картинки CAPTCHA, можно вызвать скрипт напрямую обратившись к нему:
http://mysite.ru/Scripts/capcha.php
Если в этот скрипт вставить стандартную защиту: defined('_JEXEC') or die('Низзя!'); То картинка просто не рисуется, так как форма обращается к скрипту напрямую.

Я наверное что-то недопонимаю, помогите пожалуйста. Чем чревато отсутствие в скрипте строчки defined('_JEXEC') or die('Низзя!'); ?
Как правильно сделать в моем случае? Или можно незаморачиваться этим?

а не замарачивайтесь, выкинте свой файл и используйте какой то компонент - Генератор форм
например CK Forms или что то подобное под Ваши нужды
безопасность дороже

Я с FF провозился несколько дней, но так и не смог вставить нужные скрипты куда мне нужно. Оказалось проще и быстрее написать форму самому, чем юзать компонент.
В своей форме хоть точно знаешь что и как работает. Вот, ток вот этот нюанс смущает...

Ну если делать проверки на входящие данные полноценные то можно и без этой строчки в принципе.
Еще можно делать проверку referrer, но это не панацея

Все зависит от фильтрации входных данных capcha.php как уже сказали..
Но не думаю что боты так далеко пойдут..

Так не ботов речь, а про уязвимость для взлома сайта.
Взлом через капчу кстати - далеко не редкость

Интересно... как можно взломать сайт через карпчу?:  Ведь дело не в капче, а фильтрации данных... но это вроде уже понятно как 2+2

Ведь дело не в капче, а фильтрации данных... но это вроде уже понятно как 2+2

Вот не понятно, если честно:) Объясни, плис, как и что в моем случае надо фильтровать?

Вот не понятно, если честно:) Объясни, плис, как и что в моем случае надо фильтровать?

Ну вот что у вас происходит после нажатия на кнопку "отправить". ?

Ну вот что у вас происходит после нажатия на кнопку "отправить". ?

Одну переменную обрабатываю своим скриптом и вывожу результат, а остальные с формы записываю в базу.

Одну переменную обрабатываю своим скриптом и вывожу результат, а остальные с формы записываю в базу.

Ну так и фильтруйте то, что пишите в базу. Единственный взлом, который тут возможен - это MySQL Injection. Просто входящие переменные обезопасьте перед записью в базу.

Всем спасибо:)
Сорняк сомнения был благополучно вырван и растоптан:)

Если в этот скрипт вставить стандартную защиту: defined('_JEXEC') or die('Низзя!');

чем это отличается от этого?

SmokerMan, сори, я не понял вопроса. При чем тут отличается? Константа _JEXEC определяется в index.php

SmokerMan, сори, я не понял вопроса. При чем тут отличается? Константа _JEXEC определяется в index.php

поэтому и написал, потому что смысла нету ставить эту проверку, т.к. это отдельный скрипт.

SmokerMan, а как тогда, в моем случае, подстраховаться от вызова моих скриптов по ссылке такого вида: http:мойсайт/myscript.php  ?

Можно через htacces запретить прямой вызов скриптов.
Ну и снова же...
в файле где подключается скрипт -
В скрипте который подключается
Хотя я всегда обвертываю весь скрипт в 

ART-DELI спасибо, чот я не подумал что так можно, буду знать:)
(я лишь учусь:)