[php]parsowanie kodu Opcje

[faran]

Witam,
Przygotowuje stronę do opublikowania w internecie i chciałbym ją trochę zabezpieczyć.... Mam związku z tym pytanie, jakie funkcje php powodują wykonanie 'funkcji' kodu ?(troche pewnie nie zrozumiale to napisałem ale nie mam pomysłu jak inaczej).
Na pewno jedną z najczęściej wykorzystywaną do celów włamania się na serwer jest include...

Ten post edytował faran 31.10.2009, 21:55:09

[Spirit86]

Primo nie możesz dopuścić do wykonania kodu, czyli jako eval.

Sprawdzaj zmienne po prostu, np.

[PHP] pobierz, plaintext 
$_GET['id']
[PHP] pobierz, plaintext 

ma być liczbą to dajesz

[PHP] pobierz, plaintext 
(int) $_GET['id']
[PHP] pobierz, plaintext 

robisz include zależne od zmiennej? To sprawdź czy plik isntieje:

[PHP] pobierz, plaintext 
if(!file_exists('sciezka/'.$_GET['id'].'.html')) die('zly parametr');
[PHP] pobierz, plaintext 

etc etc. Poszperaj Code Injection

Ten post edytował Spirit86 31.10.2009, 22:33:31