PHP Generelt

sæt register_globals=on i php.ini

<?php

echo "<a href='denneside.php?action=test'>Test link</a><p>";

if ($_REQUEST['action'] == 'test') {
  echo "Linket virker...";
} else {
  echo "Linket virker <b>ikke</b>";
}

?>

Ser du vælger at sætte register_globals=on i php.ini...

Dette er sådan set også fint nok, men grunden til at det er sat til netop off er at de udgør en betydelig sikkerhedsrisiko...

Det er de færreste webhoteller idag, der tilbyder at sætte register_globals=on, så jeg synes du skal overveje at bruge lidt tid på at opdatere dine PHP-koder...

$_POST
$_GET
$_REQUEST
$_SERVER

exp > Det ville absolut være det bedste for mig at få opdateret mine PHP koder, og jeg kan sagtens se problemet i at sætte register_globals=on, men jeg har forsøgt at læse mig lidt frem til det koder du nævner der, men jeg forstår ikke helt brugen af dem!

Så har du ikke kigget de rigtige steder...

Jeg står stadig fast på, att du IKKE skal sætte register_globals = on i php.ini!!!

http://www.showsource.dk/artikler/vis_artikel.php?id=1043169805

slap dog af exp.
Det er rigtigt at det anbefales at bruge $_POST/$_GET men shady spurgte efter:
om der er en enklere måde at få det til at virke på ?
og det er jo at sætte den i php.ini...og det må han vel egentlig selv om??!

tror vist bare jeg glemte en smiley :o)

Der var ingen sure miner bag indlægget...

=)

exp )> ideen med det indlæg på showsource.dk var i princippet meget god, men for mig virker det som paranoia!

Nu laver jeg et eksempel hvor jeg har postet to variabler fra en bruger med en cookie, ikke ?

Eks.
<?php

if (isset($HTTP_COOKIE_VARS[cookie])) {

if (!empty($_POST[variable1]) && !empty($_POST[variable2])) {
echo '
Der blev postet to variabler:<br>
Variabel 1: '.$_POST[variable1].'<br>
Variabel 2: '.$_POST[variable2].'<p>';
} elseif(empty($_POST[variable1]) || empty($_POST[variable2])) {
echo 'En af variablerne er tomme...';
}

} elseif{!isset($HTTP_COOKIE_VARS[cookie])) {

echo 'Du har ingen cookie';

}
?>

Jeg burde mene at ovenstående er sikkert nok og at det rent faktisk virker! Men som nævnt tidligere, så er jeg ikke ligefrem prof. php-programmør og vil derfor ikke vove at påstå at det er idiotsikret!

Jeg kan sagtens se idéen i at bruge $_POST og $_GET for så kan man ikke smide variablerne ind i via URL'en.

Det har så været lidt af en opslagsting at finde ud af hvad $_SERVER kunne bruges til og jeg må indrømme at jeg har kun fundet ud af at PHP_SELF kan bruges i den, og jeg fatter ikke hvad $_REQUEST er til!

Jeg har kigget lidt på php.net men føler ikke rigtig det hjælper mig, men hvis du har et godt link til hvor jeg kan læse om mulighederne med $_POST, $_GET, $_SERVER og $_REQUEST og eventuelt dem der eksisterer, så ville det være til stor hjælp for mig...

På denne side kan du læse om hvordan du omgår problemet og stadig bibeholder din oprindelige kode.
http://www.web10.dk/footer.php?area=faq&id=4

Der står også her hvad man kan gøre - Jeg kan ikke lige finde noget konkret lige nu, men har da læst en del artikler om emnet. Men det er jo som det er: "Surfe, surfe, surfe - hov, spændende artikel - surfe videre, surfe videre surfe videre..."

Vil ikke tvinge dg til at ændre hele skidtet, men synes du bør overveje det...

Her er også en metode til at omgå register_globals = off:
http://www.azero.dk/?/support/programmering/php/register-globals/

De links i er kommet med er meget gode, men som exp snakker om ville det være en god ide at ændre hele pisset, hvilket jeg så også har valgt at gøre!

Det er vigtigt for alle at sikkerheden er i top og koden er usårlig! Men det kræver at man sætter sig ind i sikkerheden ved php, og jeg gør virkelig hvad jeg kan!

I skal ihvertfald have tak for hjælpen... :)