[PHP]Bezpieczeństwo Opcje

[IAmBoskiM]

Witam.

Już dość długi czas czytam ten rozdział w PHP i wiecznie sobie myślę: "Hę? Że co?". Albowiem nie bardzo rozumiem o co tam chodzi; według mojego rozumowania ta strona chce mi przekazać, że każdy ma dostęp do moich plików na serwerze i może sobie wykonywać skrypty jakie tylko chce.

Może mi ktoś wytłumaczyć o co tu chodzi? Po co ten temat skoro raczej nikt dostępu do moich plików ani nic nie ma (przynajmniej taką mam nadzieję) ani nie może żadnych skryptów na moim serwerze wykonywać?

Bardzo dziękuję za odpowiedzi.

[nospor]

zalozmy ze twoj skrypt robi kasowanie jakiegos pliku, wg twojego zamyslu mial kasowac tylko i wylaczenie z danego folderu.

$homedir = "/home/$username"; // "/home/../etc"
unlink("$homedir/$userfile"); // "/home/../etc/passwd"

Niestety w takiej postaci kazdy moze podac wlasna sciezke i skasowac cala mase plikow, ktorych nie chcialbys skasowac

To samo tyczy sie odpalania plikow - w ten sam sposob mozna odpalic plik, ktory nigdy nie powinien zostac odpalony

[IAmBoskiM]

Tylko że właśnie w tym problem, że ja kompletnie nie rozumiem, w jaki sposób osoba niemająca dostępu do niczego na moim serwerze może podać własną ścieżkę, chyba że wpisując argumenty do tablicy $_GET w linku, ale załóżmy, że do usuwania pliku nie będę jej używał oraz też nie rozumiem w jaki niby sposób może ta osoba otworzyć jakiś plik jakąś komendą niemając możliwości wykonywania jakichkolwiek komend (tak chyba jest normalnie).

[nospor]

Masz kod w php, ktory sam napiszesz (z roznych powodow)

$file = $_GET['file'];
unlink($file);
zalozyles, ze tam bedziesz wrzucal pliki ktore kasujesz z danego katalogu, ale ktos poda w linku: file=../../super_wazny_plik.txt
I szlag trafil twoj wazny plik. To tylko przyklad, ale pokazuje ten machanizm

[IAmBoskiM]

Czyli tą ścieżkę można podać tylko przez $_GET?

[nospor]

Nie. Każda dana od użytkownika jest niebezpieczna . Post get ciastka... wszystko co user może ustawić jest potencjalnie niebezpieczne

[IAmBoskiM]

Ok, rozumiem. Dzięki za odpowiedzi. Temat do zamknięcia.