inkluderings script problemer

<?php
if ($_GET["action"] != "") {
  require "1/".$_GET["action"].".php";
} else if ($_GET["mode"] != "") {
  require "2/".$_GET["mode"].".php";
} else {
  require("1/forside.php");
}
?>

MEN du har et sikkerhedsproblem. Tester du ikke indholdet af action/mode
for korrekthed kan ondskabsfulde brugere includere alle filer på dit site,
ved f.x at skrive    ...php?action=../../.htpasswd

heldighvis er der ikke så noget... og de sider der ik' må ses, er beskyttet med session login system... Men deeeet

ok, slynger du et svar, eller nægter du at modtage points som sædvanlig?

kan folk ikke kun cracke/hacke/fuske sig ind på sider der ender på *.php ?

Man kan evt. også include en fil fra en helt anden server!

http://www.showsource.dk/artikler/vis_artikel.php?id=1043169805

De sider du beskytter med session er ikke beskyttet med require. Det er måske en
lille smule bedre når du klistrer .php på, men det er stadig et utilgiveligt
sikkerhedshul.

hmmmm kan man ikke lave en
str_replace("http://","","$action");
str_replace("http://www","","$action");
str_replace("www","","$action");

Måske er det bedre, men har du nu fået alt med?
Du bør lave en liste i din php fil over der lovlige navne, og kun tillade hvis
de ligger i listen. Så er du sikker.

er de mere beskyttede med include??
jeg har valgt require fordi der er php scipts i nogle af de sider jeg inkludere..

det havde jeg også før, men den liste blev nemlig meget lang, og irreterende og rette i. Det var derfor jeg lavede dette nye script

Jeg gør det at filer som skal includes, ikke ligger i "web-root", altså ikke kan nås via http
stien til dir'et er så defineret i en include på alle sider

$filepath = "/fuld/sti/til/includedir/";

hmmmm Jeg har prøvet og skrive:
http://127.0.0.1/index.php?action=http://spiff.users.whitehat.dk/index
Men den melder fejl og man kan ikke rigtig få den til at hente fra andre sider. Måske er det fordi jeg beder den hente i en anden mappe?
Denne fejl kommer:
Warning: main(1/http://spiff.users.whitehat.dk/index.php): failed to open stream: No such file or directory in c:\apache\htdocs\index.php on line 53

Fatal error: main(): Failed opening required '1/http://spiff.users.whitehat.dk/index.php' (include_path='.;c:\php4\pear') in c:\apache\htdocs\index.php on line 53

det gør jeg også!

vil det sige det er sikkert??
i kan prøve på min side her http://spiff.users.whitehat.dk hvis i vil teste...

Nej, det er ikke sikkert. Jeg fastholder min kommentar fra 19:45:39

Jeg plejer at lave et array til den slags.

$liste['forside']='1/forside.php';
$liste['nyheder']='1/nyheder.php';

Så kan man bagefter let gøre således:

$hent=(isset($_GET['action']) && isset($liste[$_GET['action']]))?$liste[$_GET['action']]:$liste['forside'];

Og du kan så udvide med

$hent=(isset($_GET['mode']) && isset($liste[$_GET['mode']]))?$liste[$_GET['mode']]:$hent;

Med mindre din mode og action kan hedde det samme, men skal give forskellige sider.

ok smider aller der føler sig moralsk forpligtede, et svar?

Moralsk forpligtet er nok lidt overdrevet, men skidt.

hmm... de andre følte sig nok ikke helt så forpligtede så