| Autor | Zpráva | ||
|---|---|---|---|
| Zerog Profil |
#1 · Zasláno: 3. 9. 2007, 08:34:42
Zdravim
videl jsem zajimavou ochranu pred php include. Nebylo to klasicke "./".$pafe.".php" ale neco ve smyslu: "st_".$page.".php" a stranky vzdy byli st_galerie.php a tak ..prote se tam vzdy pridalo to st_ na zacatek. A ja se ptam, je nejaky rozdil mezi ./ a st_ ve funkcnosti? |
||
| karbon Profil * |
#2 · Zasláno: 3. 9. 2007, 09:55:03
"./" zajistí, že soubor musí být v aktuálním adresáři (tudíž nemůže být ze vzdáleného serveru), a "st_" zajistí, že název souboru bude muset začínat na "st_". Dobrá ochrana je také includovat pomocí case nebo několika podmínek (k jedné možnosti přiřadit jednu cestu includovaného souboru)
|
||
| zefo Profil * |
#3 · Zasláno: 3. 9. 2007, 15:29:00
neni to dobra ochrana, ale jedina 100% ... vsechni ostatni se daji obejit.
myslim ze na soom.cz je o tom clanek. a na stoyan.ic.cz taky. |
||
| DoubleThink Profil * |
#4 · Zasláno: 3. 9. 2007, 16:08:33
"./" zajistí, že soubor musí být v aktuálním adresáři
Nezajistí. ./../../soubor.txt je o 2 úrovně výše. |
||
| TFSi Profil |
#5 · Zasláno: 3. 9. 2007, 16:12:08
ale jedina 100%
Netvrdil bych. Stačí testovat řetězec na přítomnost zanků jako "/" nebo "." ... |
||
| peki Profil |
#6 · Zasláno: 3. 9. 2007, 16:21:50
TFSi
Netvrdil bych. Stačí testovat řetězec na přítomnost zanků jako "/" nebo "." ... Ani nie , skor by somto testoval na "./" lebo ak mas neaky script v inej zloske tak "/" je nevyhnutnost ... |
||
| krteczek Profil |
#7 · Zasláno: 3. 9. 2007, 18:16:42
100% ochrana je že se porovnává to co jde z adresy s něčím jiným a pokud je to shodné teprve se provede include.
To něco jiné může být id článku nebo jméno článku, ad už jako klíče v databázi nebo v poli (array) a ta adresa by měla být v tom poli (databázi) jako položka, kterou teprve použijeme na includování (u db se prostě odpovídající článek vypíše). |
||
| Zerog Profil |
#8 · Zasláno: 3. 9. 2007, 20:05:44
Diky za odpovedi
Jak obechcat tohle "./".$page."php" to jsem vedel, ale s tim st_ me nic nenapadalo tak jsem se zeptal .. Diky .. |
||
| mila Profil |
#9 · Zasláno: 3. 9. 2007, 21:51:41
if (preg_match('/w+/', $page)) ...
Nesnažte se hledat všechny špatné znaky, ale vyjmenujte ty dobré. |
||
|
Časová prodleva: 17 let
|
|||
0