Include fehler abfangen? - Seite 2

09.10.2005, 15:01

Zitat:

Zitat von fadass

da wird die seite $site included hia der code

Sag' mal, hast du das Mitdenken komplett abgeschaltet???

Nimm dieses kleine Script, speichere es als test.php ab und rufe es mit test.php?site=test auf:

PHP-Code:

  <?

   echo $_SERVER['PHP_SELF'] . "
";

   

   include ($_GET['site'] . ".php");

?>

Und das ist noch die harmloseste aller Varianten.

Gruß
phpfan

ZiMD · 09.10.2005, 15:06

und da normalerweise ein timeout eingestellt ist auch nicht besonders schlimm

fadass · 09.10.2005, 15:59

ach, pfui, egal wird sowiso net online gestellt, is eine intranet site, von daher isses mir egal

09.10.2005, 16:47

Zitat:

Zitat von fadass

ach, pfui, egal wird sowiso net online gestellt, is eine intranet site, von daher isses mir egal

Na, das ist mal eine Begründung, um ein besch.... Script zu schreiben.

Gruß
phpfan

fadass · 09.10.2005, 23:45

jo, nagut ich sehs ein

ich wer ein anderes script schreiben, trotzdem danke für die warnung

outlaw · 23.12.2008, 10:57

Zitat:

Zitat von ZiMD

hallo?

wenn ers so macht wie in meinem beispiel kann der einfach beliebigen code auf deinem server ausführen!!!!

Wie kann mann diese Gefahr nichtig machen? Wäre das so sicher:

PHP-Code:

  <?php 
$vorbidden = 'http://';
$neues_wort = '';
$site = eregi_replace( $vorbidden, $neues_wort, $site );


    if(!isset($site)) $site = "news"; 

         $mysql_ok = strstr($site,":"); 
         if($mysql_ok != FALSE) $site = "news"; 
                      include($site.".php"); 
      if (!@include $site.'.php') 
      { 
      echo "Fehler: Die Seite existiert [b]nicht[/b]!
"; 
      echo '[url="javascript:history.back();"]Zurück zur letzten Seite[/url]'; 
      }  

        
?>

Manko10 · 23.12.2008, 13:07

Nein, so ist es nicht sicher.
Sicher ist es nur, wenn du den Namen gegen eine Whitelist statt gegen eine Blacklist prüfst.
Aber es ist ein wenig ungeschickt, hier im Archiv zu posten, da dein Post nicht sofort auffällt. Man sieht zwar, dass da noch irgendwo ein Post sein muss, sieht aber nicht direkt einen. Manche Leute schauen dann in den Archiven nach, aber eben nicht alle.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Fehler beim Include	winki	PHP Tipps 2006	1	17.04.2006 19:33
fehler bei Include		PHP Tipps 2006	20	15.02.2006 11:35
Fehler beim include		PHP Tipps 2005-2	4	20.10.2005 12:47
Fehler abfangen	nieselfriem	PHP Tipps 2005-2	2	10.10.2005 17:11
include fehler		PHP Tipps 2005-2	1	30.09.2005 09:30
Fehler abfangen bei Eintrag in DB	Crypi	PHP Tipps 2005-2	15	18.08.2005 15:14
XAMPP include fehler		Server, Hosting und Workstations	2	04.08.2005 10:30
Fehler abfangen in Klassen		PHP Tipps 2005-2	26	25.06.2005 19:26
Fehler bei var übergabe in include datei	JEGO	PHP Tipps 2005-2	9	16.06.2005 15:28
Fehler abfangen bei MySQL Abfrage	Dave Waterstone	PHP Tipps 2005	4	21.02.2005 15:15
eval fehler abfangen		PHP Tipps 2005	9	18.02.2005 19:37
[Erledigt] Alle Fehler außer Notice abfangen ?		PHP-Fortgeschrittene	7	05.12.2004 16:39
php-variblen Fehler mit JavaScript abfangen möglich?		HTML, Usability und Barrierefreiheit	2	27.10.2004 01:08
array_push nur in begrenzter Anzahl ausführen ?		PHP Tipps 2004	2	07.09.2004 09:05
Include fehler		PHP Tipps 2004	9	02.08.2004 22:51


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

09.10.2005, 15:06
ZiMD Erfahrener Benutzer Registriert seit: 11.08.2005 Beiträge: 206	und da normalerweise ein timeout eingestellt ist auch nicht besonders schlimm

09.10.2005, 15:59
fadass Erfahrener Benutzer Registriert seit: 08.07.2005 Beiträge: 108	ach, pfui, egal wird sowiso net online gestellt, is eine intranet site, von daher isses mir egal

09.10.2005, 23:45
fadass Erfahrener Benutzer Registriert seit: 08.07.2005 Beiträge: 108	jo, nagut ich sehs ein ich wer ein anderes script schreiben, trotzdem danke für die warnung

23.12.2008, 13:07
Manko10 Supermoderator HD Registriert seit: 16.03.2008 Beiträge: 8.425 PHP-Kenntnisse: Fortgeschritten	Nein, so ist es nicht sicher. Sicher ist es nur, wenn du den Namen gegen eine Whitelist statt gegen eine Blacklist prüfst. Aber es ist ein wenig ungeschickt, hier im Archiv zu posten, da dein Post nicht sofort auffällt. Man sieht zwar, dass da noch irgendwo ein Post sein muss, sieht aber nicht direkt einen. Manche Leute schauen dann in den Archiven nach, aber eben nicht alle. __________________ Refining Linux Advent Calendar series “24 Outstanding ZSH Gems”