register_globals abschalten

[cycap]

Hi zusammen,

ich hab mir seit langer Zeit mal wieder einen Webspace zugelegt. Das erste was ich gemacht hab ist mir die phpinfo angeschaut und was sehe ich da? register_globals = on

Jetzt wollte ich das per htaccess abschalten und bekomme bei

php_value register_globals 0

und auch bei

php_flag register_globals off

nur nen "internal server error" ein ini_set("register_globals","off"); vor dem phpinfo() hat überhaupt keine Wirkung. Hat noch jemand eine Idee wie man das ausgeschaltet bekommt?

Gruß
Cy

[cycap]

Alles klar, hat sich erledigt, die lassen mich meine eigene php.ini benutzen, das is cool

[nikosch]

Bitte beachten Sie, dass register_globals nicht während der Laufzeit Ihrer Skripte gesetzt werden kann (ini_set()). Wenn Ihr Server es erlaubt, können Sie aber .htaccess wie oben beschrieben verwenden. Beispiel für einen .htaccess Eintrag: php_flag register_globals on .

Vielleicht mal beim Hoster nachfragen, wenigstens die Erlaubnis zum Setzen zu ändern?

[cycap]

Argh ist das nen Sch.. jetzt muss ich in jedes Unterverzeichnis ne php.ini reinmachen die dann fürs jeweilige Verzeichnis gültig ist. An was für nen Hoster bin ich da schon wieder geraten?? Ohje

[Wolla]

hmpf...

Also wenn man alle reinkommenden Daten nur per $_GET und $_POST usw. abfragt, dann sollte doch auch bei rg=on nichts passieren können, oder?

[cycap]

doch wenn man fertige Skripte benutzt die undefinierte variablen benutzen...

[Wolla]

Ah ja, das ist dann klar - dann hat der Angreifer ja gleich den Quellcode und kennt eventuell vorhandene Schwachstellen.

[cycap]

Ja nur wie schalte ich das Ding ab? Ich bin jetzt soweit das ich in jedes Verzeichnis einen Symlink auf meine eigene php.ini machen könnte, aber schön ist das nicht...

[dr.e.]

Manchmal hilft auch ein

php_admin_value <key> <value>

[cycap]

Ne das hilft leider auch nicht, ich glaube das liegt daran das die PHP als CGI-Version installiert haben, damit hatte ich es noch nie zu tun. Noch jemand ne Idee?

[David]

ich glaube das liegt daran das die PHP als CGI-Version installiert haben

Einfach zu testen mit

echo PHP_SAPI_NAME; 

am besten gleich noch

echo get_current_user(); 

ausprobieren.

[cycap]

nene DAS es CGI ist weiss ich wohl... aber wie ich hier jetzt am schlausten register_globals ausschalte nicht

[David]

Und der Benutzername?
Sieht es nach einer Je-Kunden-Id oder nach einem "Sammelaccount" wie nobody, apache, webserver aus?

[cycap]

Naja also 213690-ftp sieht wohl nicht nach nem Sammelaccount aus...

PHP_SAPI_NAME ist nicht definiert... was sagt dir das jetzt?

[David]

Dass weder Du noch ich in der Doku nachgesehen haben
PHP_SAPI oder php_sapi_name()

Vielleicht kann Dein Anbieter Dir eine uid-abhängige Konfiguration ermöglichen. Zum Beispiel per PHPRC.