Hi,

habe ein Sicherheitsproblem auf meiner Website. Durch Variablen Manipulation kann fremder Code eingeschleust werden.

Jetzt brauche ich ein wenig Hilfe, um den Fehler zu beseitigen.

Ich includiere meine Links über ein Script und stelle den Inhalt anschliessend dar. Das ganze funktioniert folgendermassen:

<?
$leer = "";
if ($menu==$leer) {
include "page/news/show_news.php";
}
else {
include "$menu";
}
?>

Wenn die Variable Menu keinen Wert bekommt, inkludiert sie die News.php, ansonten eben die Seite welche ich übermittle. Nur mein Problem besteht darin, dass nicht nur meine Links aus der Navigation inkludiert werden, sondern auch Fremdinhalte.

Wie kann ich das umgehen, bzw. abstellen?

Mister Ad

http://www.phpfriend.de/forum/viewtopic.php?t=26569

Was meinst du jetzt eigentlich mit "Fremdinhalten" und "fremder "Code"?

Flor1an

also erstmal if ($menu=="") reicht vollkommen aus ^^ da musste net ne variable mit leer definieren

und zu deinem problem. include das menü nicht per include($menu) sondern per switch

switch($menu)
{
case: "forum"; include("forum.php"); break;
... etc etc etc
}

ansonsten mach n och eine abfrage

if (file_exists($menu)) include($menu);

und wenn der jenige jetzt eine eigene datei angibt die er auf seinem eigenen server hat! dann kann diese nicht includet werden da php nur dateien auf dem selben server includen kann!!! daher wird man bei dir keinen fremden code includen können.

aber machs mit switch das ist das sicherste!!!

Ich hab das jetzt mal so gelöst:

<?
if ($menu=="")
{
include "page/news/show_news.php";
}
elseif
(file_exists($menu))
{
include($menu);
}
else
{
print "Access Violation!";
}
?>

Flor1an

ein problem besteht noch! undzwar wenn der user jetzt als $menu soetwas angibt wie ../etc/htpasswd oder so in etwa dann kann auf die ganzen files auf dem webserver im dümmsten fall zugreifen

Hmmm versteh ich jetzt nicht so ganz. Wie kann ich das mal gezielt nachvollziehen, bzw. testen?

Razor meinte wohl wenn jemand als $menü z.B. "../etc/passwd" angibt dann wird die etc/passwd included, und das wär fatal. Also nie direkt $menü includen.

Also doch mit switch, oder kann das überprüft werden?

Flor1an

du könntest prüfen ob am anfang von $menu "../" steht wenn nicht kannst man nur auf dateien, die ab dem ordner der besagten datei liegen, includen.

oder mit switch was das allersicherste wäre

agrajag

Nunja...
?seite=./././../datei.php
?seite=pfad/../../datei.php

Mit Switch wird das ganze aber bei vielen Datein evtl. umständlich da immer auch die index-Datei geändert werden muss.

Ich handhabe es so, dass Dateien die includiert werden ein .inc.php verpasst bekommen. Per URl wird das vor .inc.php übertragen.

Etwa so:
So können keine Dateien includiert werden die nicht dafür gedacht sind.

__________________
Today you...Tomorrow me.