[php][bezpieczeństwo] Czy można wywoływać zdalne skrypty za pomocą echo ? Opcje

[lsmith]

Tak jak w temacie:
Czy można jakoś za pomocą "echo" wywoływać jakieś skrypty z innych serwerów ?
Konkretnie:
register_globals jest włączone na serwerze i np. wywołuje taki link:
http://www.domena.pl/index.php?tytuł=bardzo_fajny_tytuł

a w kodzie gdzieś tam mam:

[PHP] pobierz, plaintext 
<?php
echo $tytuł;
?>
[PHP] pobierz, plaintext 

to czy jakiś sprytny gość wstawiając coś w adresie za tytul= może coś mi złego zrobić i wywołać jakiś skrypt ?

wyłączenie register globals nie wchodzi w gre, chyba, że da sie to zrobić dla pojedynczego użytkownika (użytkowników korzystających z serwera firmy hostingowej jest uuuu i jeszcze ciut ciut ), ale pewnie nie bo php.ini jedno tylko na serwerze..

[Zeman]

Może wywołać dowolny kod javascript, a więc jest to dziura. Możesz łatwo się zabezpieczyć robiąc np. echo htmlspecialchars($tytul);

Czytałeś dokumentację? Można konfigurować register_globals indywidualnie.

Z tym javascriptem to taka dziura nie dziura. To co Pan namiesza poprzez swój parametr tytul ja mogę osiągnąć to samo bez parametru. Pamiętajmy, że javascript jest wykonywany po stronie serwera więc użytkownik najwyżej sam sobie namiesza w wyświetleniu strony.