[php] security issue statische pagina's

[RSD]

Ik vroeg me af hoe ik include pagina's kan beveiligen tegen code injectie.

Als ik bijvoorbeeld het volgende doe:

test.html bevat:

<?echo "test";?>

als ik test.html aanroep gebeurt er niks. PHP code wordt niet uitgevoerd.

echter als ik nu het volgende doe:

test.php bevat:

include("test.html");

en ik roep dan test.php aan. Dan wordt de php code in test.html wel uitgevoerd.

Heeft iemand misschien een oplossing hoe ik dit anders kan doen?

[RobIII]

Kwestie van escapen Wat je beschrijft is gewoon gedocumenteerd behaviour van include().
Maar waarom zou je zoiets uberhaupt doen? Waarom gebruik je niet readfile, fopen()

Hoe dan ook dit is gewoon een kwestie van documentatie lezen.

[ Voor 84% gewijzigd door RobIII op 03-10-2006 14:15 ]

[martennis]

moet het niet test.php zijn?

[ Voor 11% gewijzigd door martennis op 03-10-2006 14:24 ]

[JHS]

martennis: Nee . Het punt is dat * RSD verwacht dat als je een html bestand include deze als html bestand gelezen wordt, en dat code tussen <?php en ?> dus niet tot uitvoering komt. Het is echter zo dat include dat wel doet. Wat zoals * RobIII aangeeft ook gewoon de bedoeling is .

Test.php include dus test.html. Als ze allebei test.php zouden heten zou het op zich niets uitmaken, behalve dat bij het direct bekijken van test.php de code ook al uitgevoerd zou worden.

[xces]

En als je test.html wilt "printen" moet je dit doen:

PHP:

<?php
echo file_get_contents('test.html');
?>

[sariel]

Tsja, HTML pagina's worden standaard niet als PHP pagina's gezien. Als je dat wel wil, moet je Apache/IIS zo instellen. Als je echter een PHP bestand een html bestand laat includen, wordt dat in de parser van PHP gedaan, met als gevolg dat het geinclude bestand ook geparsed gaat worden, en dat php code daarin ook uitgevoerd gaat worden.

Wat betreft "Code injection", doe gewoon input validatie en gebruik vaste includes en je zal, denk ik, de meeste dingen wel afgevangen hebben.

[RSD]

Ik gebruik nu ook file_get_contents, maar ik heb het idee dat een include veel sneller is of makat dat niet uit?

[JHS]

RSD: Of het sneller is of niet maakt lijkt me niet zo heel veel uit, het doet niet wat je wil . Daarnaast lijkt het me dat het parsen van een file langer duurt dan alleen de inhoud opneemt. je zou dus zeggen dat file_get_contents sneller is.

[RSD]

In eerste instantie deed het wel wat ik wou, echter kwam ik er achter dat je zo php code kan injecteren. Eigenlijk bestwel stom van me, want je kan ook .inc files erin zetten etc en die gaat hij ook bij langs, dus eigenlijk had ik het moeten weten. Dus dan maar file_get_contents gebruiken.

[Pin0]

Wil de TS voorkomen dat men door bijv. de url te veranderen een externe pagina include dan voldoet volgens mij een ./ voor de te includen file dus:

include("./test.html");

Wellicht is één en ander ook afhankelijk van de webserver, je kan deze ook zo instellen dat php ook html pagina's parsed of niet...

[RSD]

Het gaat erom dat de html pagina's niet worden geparsed die geinclude worden. Ik dacht dat dat niet gebeurde. Echter als file_get_contents sneller is dan een include, dan gebruik ik dat

[RSD]

Hoe kan ik bijvoorbeeld mensen een eigen php file laten includen doe op hun eigen server wordt ge-output? Zijn daar manieren voor? Dus bijv:

[include=http://www.willem.nl/mijninclude.php]

en dat ik dan die gegevens ophaal die daar staan en op die plaats include.

[ Voor 34% gewijzigd door RSD op 03-10-2006 16:57 ]

[R4NCOR]

Dat wordt wel vrij basic hoor.... Je kunt met een reguliere expressie die URL uit de tag lezen, die in een variabele stoppen en die variabele weer in een file_get_contents() pleuren.

[RSD]

Voor mij is het niet basic in ieder geval. Ik had zoiets in gedachte:

$x = file_get_contents("test.html");

echo $x;
echo preg_replace_callback("/[url=(.*)]/siU","file_get_contents",$x);

Maar dat werkt ook niet.

[moozzuzz]

Ik bescherm mezelf enkel tegen het includen van verkeerde statische bestanden. Daarvoor maak ik een soort sandbox aan voor statische pag's. VB

PHP:

include('./dynamic/'.$some_page_you_want_to_include.'.ext');

$some_page_you_want_to_include wordt natuurlijk ontdaan van mogelijkheden om te ontsnappen uit de 'static'-sandbox. (vb: .. eruitknippen)

\edit: ik lieg, ik include enkel dynamische pagina's. Statische worden met een lees-functie erin gegooid.

[ Voor 17% gewijzigd door moozzuzz op 03-10-2006 17:34 ]