[PHP]Bezpieczeństwo tego GET'a Opcje

[ArekJ]

Witam,
chciałbym się dowiedzieć czy skrypt ten jest bezpieczny:

[PHP] pobierz, plaintext 
<?php
$akcja = $_GET['akcja'];
if($akcja != NULL AND file_exists($akcja.".php")){
include ''.$akcja.'.php';
echo $tekst;
}
else{
echo 'TEST';
}
?>
[PHP] pobierz, plaintext 

Jeżeli nie to jakie trzeba zastosować w nim zmiany?

Ten post edytował ArekJ 2.12.2008, 16:08:55

[Gacek89]

nie jest bezpieczny
tz tak mi se wydaje
niepowinno sie includowac rzeczy z get, ale moge sie mylić bo zstosowałes tutaj sprwdzenie czy taki plik istnieje

Ten post edytował Gacek89 2.12.2008, 16:13:18

[ArekJ]

nie jest bezpieczny

No dobrze, ale można by było trochę bardziej rozbudować to zdanie? Dlaczego nie jest bezpieczny? Jak go zabezpieczyć?

@up Gacek89 edytował post w trakcie wysyłania mojego (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)
Czekam na dalszze uwagi i ew. pomoc

Ten post edytował ArekJ 2.12.2008, 16:14:43

[Darti]

bo zrobie u siebie plik pod adresem: http://moserwis/aaa.php a tobie podam zmienną w get akcja=http://moserwis/aaa

[ArekJ]

No, a nie zabezpiecza wykonania tego skryptu to, że to co ma się wyświetlić przechowuję w zmiennej $tekst?

[wookieb]

Sprawdz jeszcze czy plik nie zaczyna sie od "http://"

[decha-design]

nie, bo to i tak wykona skrypt zewnetrzny a i w zmiennej $tekst bedzie NULL ...

korzystaj z basename" title="Zobacz w manualu PHP" target="_manual i ze sprawdzaniem czy taki plik istnieje w danych katalogu (np. tak ./includes/xxx gdzie xx to dany plik) ... a jak masz mało tych plików ktore chcesz includowac ... to switch

Ten post edytował decha-design 2.12.2008, 16:22:18

[Gacek89]

sprawdz tez jak reaguje na includowanie samego siebiem czy sie skrypt tak niezapentli

[ArekJ]

No i właśnie... zapentla się... A jak zrobić, żeby sprawdzał czy plik nie zaczyna się od http://?

EDIT:
Zrobiłem takiego if'a:

[PHP] pobierz, plaintext 
<?php
if($akcja != NULL AND file_exists($akcja.".php" AND $akcja != http)){
?>
[PHP] pobierz, plaintext 

Ale mam wrażenie, że to nie ma prawa działać, a inaczej nie umime...

Ten post edytował ArekJ 2.12.2008, 16:35:01

[wookieb]

A jak zrobić, żeby sprawdzał czy plik nie zaczyna się od http://?

http://php.net/strpos

[ArekJ]

Zastosowałem to co podał wookieb i wyszło mi takie coś:

[PHP] pobierz, plaintext 
<?php
                                      $akcja = $_GET['akcja'];
                                      $test1 = $akcja;
                                      $test2 = 'http://';
                                      $test3 = strpos($test1, $test2);
                                      if($akcja != NULL AND file_exists($akcja.".php" AND $test3 === false)){
                                      include ''.$akcja.'.php';
                                      echo $tekst;
                                      }
                                      else{
                                      echo 'TEST';
                                      }
                                      ?>
[PHP] pobierz, plaintext 

Ale jak sprawdzić czy to działa?

[bełdzio]

http://www.beldzio.com/bezpieczenstwo-dostepu-do-plikow

[ArekJ]

O @bełdzio dzięki za świetny artkył skorzystam! Temat chyba skończony, te zabezpieczenia powinny wystarczyć (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

[artur_dziocha]

Temat: Bezpieczenstwo_skryptow_PHP
a może ten temat??