Mittels include hacken

Freeaak · 12.10.2006, 12:15

Moin!
Ich bin durch Zufall auf diese Seite gestoßen:
http://kg14.kg.funpic.de/
da werden die unterseiten über get includet. Da mir das sehr unsicher erscheint, wollte ich fragen, wie ein Hacker sich so etwas zu nutze machen kann?

Gruß Freeaak

RudiS · 12.10.2006, 13:58

Solange geprüft wird, welche Seiten aufgerufen werden können, ist das kein Problem:

PHP-Code:

  <?php

    $pages = array(

        'index.php',

        'gaestebuch.php',

        // ...

        );

    

    // prüfen ob die Seite erlaubt ist:

    $requestPage = ( !empty( $_REQUEST['path'] ) and in_array( $_REQUEST['path'], $pages ) )

        // wenn ja Seite benutzen:

        ? $_REQUEST['path']

        // wenn nein index laden:

        : $pages[0];

    

    // Seite laden ...

    require_once 'daten/' . $requestPage;

?>

Aber es dürfen auf keinen Fall ungeprüfte Werte mit include() oder require() geladen werden, immer erst mit in_array() oder anderen Methoden prüfen! Sonst können geschützte Daten geladen/angezeigt werden, z. B. Passwörter, etc.

Ich finde es besser, wenn nur ein Name oder Teilpfad ('seite/unterseite') und nicht der volle Pfad zur .php-Datei verwendet wird:

PHP-Code:

  <?php

    $pages = array(

        'index' => 'index.php',

        'gaestebuch' => 'gaestebuch/uebersicht.php',

        // ...

        );

    // prüfen ob die Seite erlaubt ist:

    $requestPage = ( !empty( $_REQUEST['path'] ) and isset( $pages[$_REQUEST['path']] )

        // wenn ja Seite benutzen:

        ? $_REQUEST['path']

        // wenn nein index laden:

        : $pages[0];

 
    // Seite laden ...

    require_once 'daten/' . $pages[$requestPage];

?>

So erspart man dem Benutzer dann auch diese unnötigen Informationen, wie die Dateiendung.

Am besten dann z. B. noch mit mod_rewrite bearbeiten, so dass Links wie http://meine-seite.de/gaestebuch möglich sind. Dazu siehe auch: http://www.w3.org/Provider/Style/URI.html
mfg RudiS

Zergling-new · 12.10.2006, 16:11

Zitat:

Zitat von Freeaak

da werden die unterseiten über get includet. Da mir das sehr unsicher erscheint, wollte ich fragen, wie ein Hacker sich so etwas zu nutze machen kann?

Auf dieser Seite wohl garnicht, aber das auch nur weil es funpic.de unterbindet. Weder
http://kg14.kg.funpic.de/include.php...es/phpinfo.txt
noch
http://kg14.kg.funpic.de/include.php?path=/etc/
funktioniert

Es ist zwar nicht ganz so komfortabel, aber du musst eben explizit angeben, welche Parameter für "path" erlaubt sind.

suter · 03.11.2006, 12:40

Ist mir eh nicht ganz klar wie das funktionieren soll. Wenn ich da eine Seite mit irgendwelchem php Code einfüge, wird die dann geparst? Dann würde es Sinn machen.

Corvin · 20.11.2006, 21:54

Zitat:

Zitat von suter

Wenn ich da eine Seite mit irgendwelchem php Code einfüge, wird die dann geparst?

Ja.

Der Thread wurde verschoben, wegen ...
... Postings im falschen Forum. Bitte beim nächsten Mal darauf achten.

verschoben

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
include() ersetzen	Shadow21	PHP Tipps 2006	3	30.08.2008 14:13
include isoliert ausführen – Lösungsansatz gesucht	veit	PHP-Fortgeschrittene	8	09.04.2008 09:26
hinter include wird eine 1 angezeigt	\|~Râdîant~\|	PHP Tipps 2008	8	19.09.2007 13:52
include Dateien wieder ausängen o.Ä.	netti	PHP Tipps 2007	8	17.12.2006 15:14
include problem	Canni	PHP Tipps 2006	26	14.11.2006 14:24
Übergabe von eingegebenem String mittels Formular und POST?!	vampsoftchef	PHP Tipps 2006	7	18.10.2006 20:06
Sessiondaten in include nutzen		PHP Tipps 2006	17	23.02.2006 17:18
include, nur bestimmten teil neu laden	Calli	PHP Tipps 2006	2	27.01.2006 15:57
Auf Firmen-Server funzt kein include aus fremden Verzeichnis		PHP-Fortgeschrittene	3	19.07.2005 16:49
[Erledigt] Include liegt in einem anderen Verzeichnis - es geht nix		PHP Tipps 2005-2	3	03.07.2005 22:40
[Erledigt] Sessions auch bei include aktiv?		PHP Tipps 2005	1	28.02.2005 19:58
[Erledigt] Problemme mit include...		PHP Tipps 2004-2	6	30.11.2004 12:20
HTTP_GET_VARS + Include = Array leer		PHP Tipps 2004-2	3	24.11.2004 15:12
Zugriff auf globale Klassenvariable mittels Include		PHP Tipps 2004	2	15.07.2004 17:20
include() und die performance		PHP-Fortgeschrittene	11	24.06.2004 19:04

12.10.2006, 12:15
Freeaak Erfahrener Benutzer Registriert seit: 05.04.2005 Beiträge: 1.333	Mittels include hacken Moin! Ich bin durch Zufall auf diese Seite gestoßen: http://kg14.kg.funpic.de/ da werden die unterseiten über get includet. Da mir das sehr unsicher erscheint, wollte ich fragen, wie ein Hacker sich so etwas zu nutze machen kann? Gruß Freeaak __________________ "Wenn du nicht weißt, was du tust: Machs mit Eleganz!" (Murphy's Gesetze)


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

12.10.2006, 13:58
RudiS Erfahrener Benutzer Registriert seit: 08.06.2004 Beiträge: 865	Solange geprüft wird, welche Seiten aufgerufen werden können, ist das kein Problem: PHP-Code: <?php $pages = array( 'index.php', 'gaestebuch.php', // ... ); // prüfen ob die Seite erlaubt ist: $requestPage = ( !empty( $_REQUEST['path'] ) and in_array( $_REQUEST['path'], $pages ) ) // wenn ja Seite benutzen: ? $_REQUEST['path'] // wenn nein index laden: : $pages[0]; // Seite laden ... require_once 'daten/' . $requestPage; ?> Aber es dürfen auf keinen Fall ungeprüfte Werte mit include() oder require() geladen werden, immer erst mit in_array() oder anderen Methoden prüfen! Sonst können geschützte Daten geladen/angezeigt werden, z. B. Passwörter, etc. Ich finde es besser, wenn nur ein Name oder Teilpfad ('seite/unterseite') und nicht der volle Pfad zur .php-Datei verwendet wird: PHP-Code: <?php $pages = array( 'index' => 'index.php', 'gaestebuch' => 'gaestebuch/uebersicht.php', // ... ); // prüfen ob die Seite erlaubt ist: $requestPage = ( !empty( $_REQUEST['path'] ) and isset( $pages[$_REQUEST['path']] ) // wenn ja Seite benutzen: ? $_REQUEST['path'] // wenn nein index laden: : $pages[0]; // Seite laden ... require_once 'daten/' . $pages[$requestPage]; ?> So erspart man dem Benutzer dann auch diese unnötigen Informationen, wie die Dateiendung. Am besten dann z. B. noch mit mod_rewrite bearbeiten, so dass Links wie http://meine-seite.de/gaestebuch möglich sind. Dazu siehe auch: http://www.w3.org/Provider/Style/URI.html mfg RudiS __________________ Kunst kommt von Können und nicht von wollen, denn sonst würde es ja Wunst heißen.

03.11.2006, 12:40
suter Erfahrener Benutzer Registriert seit: 06.09.2003 Beiträge: 309	Ist mir eh nicht ganz klar wie das funktionieren soll. Wenn ich da eine Seite mit irgendwelchem php Code einfüge, wird die dann geparst? Dann würde es Sinn machen.