[PHP] Sichere Includes - immer noch aktuell so? - PHP

- WebmasterWork »
- Grafik & Programmierung »
- PHP »
- [PHP] Sichere Includes - immer noch aktuell so? »

alaska

Grünschnabel

Dabei seit: 04.01.2012

Beiträge: 2

Mittwoch, 4. Januar 2012, 23:10

[PHP] Sichere Includes - immer noch aktuell so?

Hi Leute,
ich wollte mal fragen ob dieser Beitrag immer noch aktuell ist - d.h. ob die 2. Methode (Dynamische Definition) immer noch sicher vor FLI (local file include) ist??

Hier auch nochmal der Code:

PHP-Quelltext

<?php
// ... Rahmenlayout usw

$include = "startseite.php";
if(!empty($_GET['seite'])) {
  $tempvar = "./" . basename($_GET['seite']) . ".php"; // Hier könnte auch noch ein anderer Ordner eingesetzt werden
  if(file_exists($tempvar)) {
    $include = $tempvar;
  }
}

include($include);
?>

Ansonsten wäre ich über eine aktuelle Lösung sehr erfreut.

cccpmik

Foren Gott

Dabei seit: 04.09.2007

Beiträge: 2 999

Donnerstag, 5. Januar 2012, 12:19

	PHP-Quelltext
1 2 3	if(file_exists($tempvar)) { //Prüfe ob datei exesteiert, wenn ja dann include diese $include = $tempvar; }

Mein kleines Projekt
-Cruel Online-

alaska

Grünschnabel

Dabei seit: 04.01.2012

Beiträge: 2

Donnerstag, 5. Januar 2012, 22:06

Zitat von »cccpmik«

	PHP-Quelltext
1 2 3	if(file_exists($tempvar)) { //Prüfe ob datei exesteiert, wenn ja dann include diese $include = $tempvar; }

Sorry aber das sagt mir eig. genauso viel wie vorher oO....

P.S.: Es sollte noch angemerkt sein das ich in Sachen "php programmieren" so gut wie keine Kenntnisse habe.

thwju

Tripel-As

Dabei seit: 22.10.2011

Beiträge: 205

Donnerstag, 5. Januar 2012, 23:40

Wenn ich mich nicht irre soll das das geiche wie dein code sein ,nur simpler.
Es prüft einfach ob die Datei vorhanden ist und wenn ja integriert es diese

Made-E
NiklasKar Inhalt kommt noch :D
Ranking pushen - √

cccpmik

Foren Gott

Dabei seit: 04.09.2007

Beiträge: 2 999

Freitag, 6. Januar 2012, 08:36

Zitat von »alaska«
Zitat von »cccpmik«
PHP-Quelltext
1
2
3
if(file_exists($tempvar)) { //Prüfe ob datei exesteiert, wenn ja dann include diese
    $include = $tempvar;
  }
Sorry aber das sagt mir eig. genauso viel wie vorher oO....

P.S.: Es sollte noch angemerkt sein das ich in Sachen "php programmieren" so gut wie keine Kenntnisse habe.

schau mal du hast ja folgendes geschrieben

	PHP-Quelltext
1	$tempvar = "./" . basename($_GET['seite']) . ".php"; // Hier könnte auch noch ein anderer Ordner eingesetzt werden

also wenn du bei dir index.php?site=home aufrufst, wird home.php aufgerufen intern, nun denkst du man könnte einen anderen ordner einbinden also index.php?site=foo/bar/home somit wird dann theoretisch foo/bar/home.php aufgerufen.

alternativ könntest du ja ein Ordner anlegen wie "sites" und dein code so abändern

	PHP-Quelltext
1 2	[php] $tempvar = "sites/" . $_GET['seite'] . ".php";

so nun wird bei index.php?site=home die home.php aus dem sites ordner eingebunden, wenn jemand schreibt index.php?site=foo/bar/home somit versucht dann der script sites/foo/bar/home.php aufzurufen, da aber die datei nicht exestiert kriegt die person eine fehlermeldung.

hoffe nun ist es etwas klarer

Mein kleines Projekt
-Cruel Online-

splasch

Doppel-As

Dabei seit: 12.06.2010

Beiträge: 118

Samstag, 7. Januar 2012, 19:24

Hi alaska

Das Script prüft ledig ob eine Datei vorhanden ist. Besser noch du arbeitest zusätzlich mit einer White List.

Mfg Splasch

[PHP] Sichere Includes - immer noch aktuell so?

PHP-Quelltext

PHP-Quelltext

Zitat von »cccpmik«

PHP-Quelltext

Zitat von »alaska«

Zitat von »cccpmik«

PHP-Quelltext

PHP-Quelltext

PHP-Quelltext

Ähnliche Themen