Problem s include

haho · Napísal **haho**: 08.04.2008 21:19

caute, poreboval by som poradit s tímto
chcem aby pri zadani pokus.php sa vlozil uvod.inc a pri zadani pokus.php?x=nieco aby sa vlozil nieco.inc
napisal som to takto:

<?
$x = $_REQUEST['x'];
$subor = $x . ".inc";
if (File_Exists ($subor)):
include $subor;
else:
include "uvod.inc";
endif;

?>

pri zadani pokus.php?x=nieco sa naozaj vklada nieco.inc a ked zadam pokus.php?x=niecoconeexistuje sa vlozi uvod.inc

problem nastane ked zadam len pokus.php
vlozi sa vtedy sice uvod.inc ale tiez sa zobrazi aj Notice: Undefined index: x in c:\program files\easyphp1-8\www\pokus.php on line 14

na 14 riadku je $x = $_REQUEST['x'];

neviete niekto ako to opravit?
diki

walther · Napísal **walther**: 08.04.2008 21:35

nepouzivaj $_REQUEST, ale len $_GET
a tu je podla mna vhodnejsi zapis celeho kodu, ale to zalezi od programatora, komu co viac sedi

Kód:

<?php
if (isset($_GET['x])){
 $x = $_GET['x'];
 $subor = $x . ".inc";
 if (File_Exists ($subor)){
     include $subor;
 }
 else{
     include "uvod.inc";
  }
else include "uvod.inc";
?> 

a dalsia vec, NEPOUZIVAJ short tags, ( <? ?>), ale klasicky zapis <?php ?> ! vyhnes sa problemom na hostingoch, kde mas vypnutu short_tags direktivu

ten tvoj kod totiz nemusi fungovat vsade...

mondzo · Napísal **mondzo**: 09.04.2008 10:03

Ja by som len dodal, ze v linku by som nikdy neposielal nazov suboru, ktory budem potom neskor includovat -> bezpecnostne hladisko

PedroFuture · Napísal **PedroFuture**: 09.04.2008 12:32

mondzo píše:

Ja by som len dodal, ze v linku by som nikdy neposielal nazov suboru, ktory budem potom neskor includovat -> bezpecnostne hladisko

no myslim ze v tomto pripade to mas jedno....lebo on potom overuje ci taky subor existuje. Takze keby to chce niekto napadnut tak sa mu tam hodi uvod.inc

haho · Napísal autor témy **haho**: 09.04.2008 19:25

el mariachi píše:

nepouzivaj $_REQUEST, ale len $_GET
a tu je podla mna vhodnejsi zapis celeho kodu, ale to zalezi od programatora, komu co viac sedi

Kód:

<?php
if (isset($_GET['x])){
 $x = $_GET['x'];
 $subor = $x . ".inc";
 if (File_Exists ($subor)){
     include $subor;
 }
 else{
     include "uvod.inc";
  }
else include "uvod.inc";
?> 

a dalsia vec, NEPOUZIVAJ short tags, ( <? ?>), ale klasicky zapis <?php ?> ! vyhnes sa problemom na hostingoch, kde mas vypnutu short_tags direktivu

ten tvoj kod totiz nemusi fungovat vsade...

aj ked tam dam namiesto $_REQUEST $_GET stale sa deje to iste a s tym tvojim zapisom mi to tiez nejde

emer · Napísal **emer**: 09.04.2008 19:55

Kód:

<?php 
if (isset($_GET['x'])){ 
 $x = $_GET['x']; 
 $subor = $x . ".inc"; 
 if (File_Exists ($subor)){ 
     include $subor; 
 }else{ 
     include "uvod.inc"; 
  } 
}else{ 
  include "uvod.inc";
}
?>

a čo teraz?

chybal apostrof pri $_GET a zatvorky boli zle uzavrete

haho · Napísal autor témy **haho**: 09.04.2008 21:22

diki
ten apostrof som si vsimol ale zatvorky nie

Blackshadow · Napísal **Blackshadow**: 09.04.2008 22:01

co by to spravilo, kebyze zadam:

Kód:

pokus.php?x=http://www.mojweb.sk/script

samozrejme, ten script ma koncovku .inc... ktory si sam prida

fungovalo by to??

radsej nepouzivaj nazvy suborov...

shaggy · Napísal **shaggy**: 10.04.2008 0:31

Blackshadow, mondzo - aj ja používam podobné názvy a nič sa nedeje. Tento skript má jednu chybičku, to je pravda. Ale stačí umiestniť tie includované súbory do nejakého adresára, alebo pridať kontrolu či sa v reťazci nenachádza "http" a iné škodlivé reťazce. Používanie názvov súborov v parametroch nie je vôbec problém.

mondzo · Napísal **mondzo**: 10.04.2008 10:24

Nie je mozno problem pre to, ze sa ti do toho zatial nikto nesral (s prepacenim za slovo).
CEST

walther · Napísal **walther**: 10.04.2008 10:27

mondzo píše:

Nie je mozno problem pre to, ze sa ti do toho zatial nikto nesral (s prepacenim za slovo).
CEST

tiez si myslim... osobne to povazujem za prilisne bezpecnostne riziko

mylan · Napísal **mylan**: 10.04.2008 11:08

Blackshadow píše:

co by to spravilo, kebyze zadam:

Kód:

pokus.php?x=http://www.mojweb.sk/script

samozrejme, ten script ma koncovku .inc... ktory si sam prida

fungovalo by to??

radsej nepouzivaj nazvy suborov...

nestalo by sa vôbec nič, kedže je tam kontrola na lokálny súbor, ktorý url adresou neoblbneš. Len ti to skontroluje, že súbor s presným názvom http://www.mojweb.sk/script.inc na danom webe neexistuje Jednoducho by to vložilo uvod.inc

doplnil by som však zápis nejako takto:

Kód:

$subor = "./" . $x . ".inc";

, plus by som skôr kontroloval, či sa v premennej x nenachádzajú 2 bodky(..), aby sa nevkladalo niečo zo subdomén, ak nie je na hostingu prislúšná restriction...

suchy · Napísal **suchy**: 10.04.2008 11:48

el mariachi píše:

tiez si myslim... osobne to povazujem za prilisne bezpecnostne riziko

uved nejaky nazorny priklad ohrozenia bezpecnosti. predsa ked ich mam v adresari, kde je zakazany priamy pristup a mam spravne filrovany vstup, nevidim ziadne ohrozenie.

shaggy · Napísal **shaggy**: 10.04.2008 15:20

mondzo píše:

Nie je mozno problem pre to, ze sa ti do toho zatial nikto nesral (s prepacenim za slovo).
CEST

ach deti, nepovyšujte svoje domnienky na overené tvrdenia. Pokojne sa mi do toho môže niekto "srať" (s prepáčením za tvoje slovo), ale ak si to vieš ošetriť, nevidím dôvod, prečo si to robiť ťažšie

mondzo · Napísal **mondzo**: 10.04.2008 17:28

Hm, no neviem koho tu nazyvas deti. Ja uz davno do tejto kategorie nepatrim.
Ale na inu temu som chcel.
Ano pozrel som sa na to troska. Ano mate pravdu, ze file_exist kontroluje len lokalny subory a adresare, cize vzdialeny skript nemozno volat.
Avsak, co ak by som includoval nieco podobne v premennej x:

napr. pokus.php?x=../../../etc/passwd%00

Nemam to vsak odskusane, ale %00 predstavuje null hodnotu a nemalo by za tymto uz nic viac zobrat, cize ani .inc priponu, ktoru neskor priliepame a cisto v tejto rovine teoretickej by sme mohli ziskat pekne informacie.

Zdoraznujem, nemam to vyskusane a ak osetrime dobre uzivatelov vstup (ako napr. spominal suchy), k nicomu podobnemu by nemalo dojst.
CEST

suchy · Napísal **suchy**: 10.04.2008 17:35

ten null byte ti automaticky nezobere. uz som taketo veci skusal

shaggy · Napísal **shaggy**: 10.04.2008 17:43

Null byte je známy myslím každému, kto o tom niečo vie a toto je jedna z vecí čo skúšam, ak robím niečo nové - takže ani s týmto nie je problém

haho · Napísal autor témy **haho**: 10.04.2008 18:19

ten null zoberie
napisal som pokus.php?x=nieco.txt%00 a vlozilo to nieco.txt, ale aj tak to nevlozi zo suboru na inom serveri

suchy · Napísal **suchy**: 10.04.2008 18:36

mohol by si spomenut aj verziu apache, php a ich konfiguraciu, bo ja som to testoval na tomto Apache/2.2.4 (Ubuntu) PHP/5.2.3-1ubuntu6.3 a nepreslo mi to.
Warning: include() [function.include]: Failed opening 'index.php\0.php'

suchy · Napísal **suchy**: 10.04.2008 20:12

skusal som to aj na Apache/2.2.8 (Win32) PHP/5.2.5 a vysledok ten isty. zaujimalo by ma co starsie verzie.

mylan · Napísal **mylan**: 10.04.2008 23:39

mondzo píše:

Avsak, co ak by som includoval nieco podobne v premennej x:

napr. pokus.php?x=../../../etc/passwd%00

presne som to aj spomenul, že treba skôr kontrolovať 2 bodky... :roll:

haho · Napísal autor témy **haho**: 11.04.2008 18:55

skusal som to na easyphp 1.8

suchy · Napísal **suchy**: 11.04.2008 20:42

haho píše:

skusal som to na easyphp 1.8

to mi vela nepovie. bud si nechaj vypisat toto $_SERVER["SERVER_SOFTWARE"], alebo to najdi v phpinfo

haho · Napísal autor témy **haho**: 12.04.2008 15:23

o php este vela neviem
ako to mam dat vypisat? pisal som to do echa ale vypisovalo to len chybu

suchy · Napísal **suchy**: 12.04.2008 15:33

<?php phpinfo(); ?> a najdi tam potom ten riadok. bude v poslednom bloku PHP Variables

haho · Napísal autor témy **haho**: 12.04.2008 17:11

Apache/1.3.33 (Win32) PHP/4.3.10

suchy · Napísal **suchy**: 12.04.2008 21:35

haho píše:

Apache/1.3.33 (Win32) PHP/4.3.10

to vysvetluje preco ti to funguje

tu php 4 pouzivas z nejakeho specialneho dovodu ci si len lenivy na update?

Blackshadow · Napísal **Blackshadow**: 12.04.2008 22:12

PHP 4 pouziva, pretoze ani nevie, ze php 5 existuje

haho, daj si php 5

haho · Napísal autor témy **haho**: 13.04.2008 11:17

viem ze existuje php5 len sa mi este nechcelo robit update

Problem s include

Podobné témy