[php][bezpieczeństwo] Czy można wywoływać zdalne skrypty za pomocą echo ? Opcje

[lsmith]

Tak jak w temacie:
Czy można jakoś za pomocą "echo" wywoływać jakieś skrypty z innych serwerów ?
Konkretnie:
register_globals jest włączone na serwerze i np. wywołuje taki link:
http://www.domena.pl/index.php?tytuł=bardzo_fajny_tytuł

a w kodzie gdzieś tam mam:

[PHP] pobierz, plaintext 
<?php
echo $tytuł;
?>
[PHP] pobierz, plaintext 

to czy jakiś sprytny gość wstawiając coś w adresie za tytul= może coś mi złego zrobić i wywołać jakiś skrypt ?

wyłączenie register globals nie wchodzi w gre, chyba, że da sie to zrobić dla pojedynczego użytkownika (użytkowników korzystających z serwera firmy hostingowej jest uuuu i jeszcze ciut ciut ), ale pewnie nie bo php.ini jedno tylko na serwerze..

[akubiczek]

Nie ma zgody z mojej strony na ignorowanie zagrożenia (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

Proszę nie myśleć jedynie o bezpośrednim bezpieczeństwie serwera, ale także o bezpieczeństwie użytkowników korzystających z serwisu. Nie będę zbędnie pisał, polecam przeczytanie tego artykułu:

http://en.wikipedia.org/wiki/Cross_site_scripting

Szczególnie rozdział "Real-world examples".