$_GET i adres np. plik.php?id=artykuly Opcje

[Legro]

Jak takie adresy zrobić za pomocą $_GET (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) ?

Metoda $_POST już mi lepiej wychodzi. A gdy próbuję coś zrobić z $_GET to nic mi nie wychodzi :/ Pomożecie, i ew. napiszecie jakiś przykładzik..

[Shili]

Nie podałeś na razie żadnego argumentu czemu Twoje rozwiązanie jest najlepsze. Skoro chcesz dyskutować rób to merytorycznie.

Jakimi zabezpieczeniami? Jeśli istnieje lista plików, które nie powinny być includowane tą metodą, to wypadałoby jeszcze zrobić tablicę wyjątków. Wyjaśnij mi teraz zamiast zadawać kolejne pytania w jakim sensie wyrażenie regularne miałoby być lepsze od ścisłego zbioru plików możliwych do includowania?

@down
Kurcze! To próbuję Ci przetłumaczyć - wyrażenie regularne takie jak zaproponowałeś przepuści WSZYSTKIE nazwy plików jedynie ze znakami a-zA-Z0-9; dzięki temu trzeba będzie nazywać pliki do niezaincludowania za pomocą innych znaków, co jest o tyle nieciekawe, że nazewnictwo powinno być jednolite.

Poza tym jak wpiszę w get blgagagtaeg214142jjljljfsaja to też mi zaincluduje plik, czy też plunie warningiem, chociaż nikt o zdrowych zmysłach raczej nie tworzy takich plików dla użytkowników. Uważasz, że to jest plik przeznaczony do includowania?

@down jeszcze raz
Zabrakło mi słów. Nie możesz ustawić, bo to przejdzie Twoje proponowane wyrażenie regularne. Co najwyżej możesz sprawdzić za pomocą tego odrzuconego przez Ciebie file exist czy plik istnieje. Btw, congif również przejdzie.

Ten post edytował Shili 2.07.2008, 15:44:32

[pyro]

@down jeszcze raz
Zabrakło mi słów. Nie możesz ustawić, bo to przejdzie Twoje proponowane wyrażenie regularne. Co najwyżej możesz sprawdzić za pomocą tego odrzuconego przez Ciebie file exist czy plik istnieje. Btw, congif również przejdzie.

No widać że ci słów zabrakło...

config.php przez odpowiednie filtrowanie wyrażeniem regularnym nie przejdzie, bo przykład wyżej mówi:

[PHP] pobierz, plaintext 
<?php
 
$id=$_GET['id']
readfile('articles/'.$id.'.html');
 
?>
[PHP] pobierz, plaintext 

jak będa same litery i cyfry to sobie takiego config.php czy etc/passwd nie zaincudujesz, a jak sobie uzyjesz tego file_exists, czy tam basename, to dalej bede mogl sobie oidczytac te pliki...

[mike]

jak będa same litery i cyfry to sobie takiego config.php czy etc/passwd nie zaincudujesz, a jak sobie uzyjesz tego file_exists, czy tam basename, to dalej bede mogl sobie oidczytac te pliki...

Bzdura, bzdura i jeszcze raz bzdura.

Na przyszłość pisz, że nie wiesz a nie że się nie da.

Patrz:

[PHP] pobierz, plaintext 
<?php
 
$userFile = '....'; // zakładamy, że to dane od użytkownika, tak?
 
// prosty filtr, który wywala wszystkie pliki, które składają się ze ścieżki
if ($userFile !== basename($userFile)) {
	echo 'nie hackuj (IMG:http://forum.php.pl/style_emoticons/default/biggrin.gif) ';
	exit();
}
 
// to teraz ja wiem z jakiego folderu, atakujący nie wie
if (!file_exists('abrakadabra/' . $userFile)) {
	echo 'nie ma takiego pliku w moim tajnym folderze';
} else {
	inlcude ('abrakadabra/' . $userFile);
}
 
?>
[PHP] pobierz, plaintext 

To teraz powiem nonszalancko i szarmancko: ~pyro przeproś Panią (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)

Ten post edytował mike 2.07.2008, 16:05:18

[pyro]

Bzdura, bzdura i jeszcze raz bzdura.

Na przyszłość pisz, że nie wiesz a nie że się nie da.

Patrz:

[PHP] pobierz, plaintext 
<?php
$userFile = '....'; // zakładamy, że to dane od użytkownika, tak?
 
// prosty filtr, który wywala wszystkie pliki, które składają się ze ścieżki
if ($userFile !== basename($userFile)) {
	echo 'nie hackuj (IMG:http://forum.php.pl/style_emoticons/default/biggrin.gif) ';
	exit();
}
 
// to teraz ja wiem z jakiego folderu, atakujący nie wie
if (!file_exists('abrakadabra/' . $userFile)) {
	echo 'nie ma takiego pliku w moim tajnym folderze';
} else {
	inlcude ('abrakadabra/' . $userFile);
}
 
?>
[PHP] pobierz, plaintext 

To teraz powiem nonszalancko i szarmancko: ~pyro przeproś Panią (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)

Po pierwsze: include a nie "inlcude" (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

Po drugie: To ty i "Pani" mnie przeprosicie (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)

http://img365.imageshack.us/img365/6382/screenhacksh9.png

[mike]

Po pierwsze: include a nie "inlcude" (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

Rozumiem, że nigdy nie zrobiłes literówki pisząc na forum? Przecież doskonale wiesz o co mi chodziło.

Po drugie: To ty i "Pani" mnie przeprosicie (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)

http://img365.imageshack.us/img365/6382/screenhacksh9.png

A co Ty mi tu dajesz? Ja Ci tylku udowodniłem, że za pomocą tych dwóch fukkcji można rzeczy, o których mówileś, że nie można. Głośno krzyczałeś to Ci pokazuję, że można.
Można zabezpieczyć się przed podawaniem ścieżek, których się nie spodziewasz i można kontrolować, z którego folderu zasysane są pliki.
Nie odwracaj teraz kota ogonem i ustosunkuj się do tego co napisałeś:

Jak zrobić to twoim sposobem, czy to z basename, czy to z file_exists, to nadal moge sobie includowac, czy tez odczytywac pliki typu:
- etc/passwd
- conf.php
- inne tajne pliki...

Poza tym Twój przykład zakłada, że w plikach coś wyświetlasz. Rzadko tak jest w plikach konfiguracyjnych.
Rzadko zresztą includuje się takie rzeczy.

[pyro]

Rozumiem, że nigdy nie zrobiłes literówki pisząc na forum? Przecież doskonale wiesz o co mi chodziło.

A co Ty mi tu dajesz? Ja Ci tylku udowodniłem, że za pomocą tych dwóch fukkcji można rzeczy, o których mówileś, że nie można. Głośno krzyczałeś to Ci pokazuję, że można.
Można zabezpieczyć się przed podawaniem ścieżek, których się nie spodziewasz i można kontrolować, z którego folderu zasysane są pliki.
Nie odwracaj teraz kota ogonem i ustosunkuj się do tego co napisałeś:

Poza tym Twój przykład zakłada, że w plikach coś wyświetlasz. Żadko tak jest w plikach konfiguracyjnych.
Żadko zresztą includuje się takie rzeczy.

Nie musisz się do mnie uprzedzać, tylko dlatego, że Cię poprawiam... tak samo pisze się rzadko, a nie "żadko" co napisałeś 2 razy (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif) (edit )(co poprawił batman) (IMG:http://forum.php.pl/style_emoticons/default/haha.gif)

Cały czas chodziło mi o bezpieczeństwo skryptu, twój nie jest, co pokazałem na screenie, poza tym odnosiłem się do przykładu z readfile(), co napisałem wyżej... A wcale nie tak rzadko jest taka sytuacja w plikach konfiguracyjnych, rzeczywiście rzadziej, ale jest, poza tym to nie muszą być pliki konfiguracyjne a mogą być też inne poufne dane...

Ten post edytował pyro 2.07.2008, 19:25:35