Tilføje filer / iframes

Så burde du vel evt bruge denne kode som: googolplex lavede...
// Toppen af din side

<?php
$side = $_GET['side'];
$sti = '/sti/til/din/' . $side . '.php';
require_once($sti);
?>

// Bunden

Hvad gør den?? Som sagt er jeg mega newb i PHP! :)

Du kalder din side: test.php?side=whaat

Så bliver du sendt til siden:

whaat.php

SMART! Hvad betyder det der: /sti/til/din/ ???

Lad være med at bruge den løsning. Det er et sikkerhedshul og er efterhånden en klassiker. Bruger aldrig brugerens input direkte.

Gør istedet:

$sider = array();
$sider['index'] = 'side1.php';
$sider['about'] = 'about.php';
.. osv - tilføj efter behov

if( isset($_GET['side']) )
  $side = $_GET['side'];
else
  $side = 'index';  // hvis test.php kaldes, uden ?side=noget

require_once($sider[$side]);


Så bestemmer du (vha $sider) hvilken php-filer du "risikerer" at inkludere.

Hvordan et sikkerhedshul??....

Så skal jeg jo tilføje dem allesammen igen... Det er også lidt besværligt :(

Bare for sjov... Hvad skal man skrive i den der sti til din ?

please!!... Jeg har lidt brug for det... Vil helst bruge den jakobdo omtaler, da jeg så ikke behøver at predifinere alle tingene...

Det er vel da ikke så slemt? Sikkerhed er ikke noget man bør ignorerer fordi man er doven. Lav det dog ordenligt første gang :-(

Nej, men problemet er, at jeg skal lave en ikke predifineret top10 hvor den skal hente nogle filer fra serveren som jeg ikke kender på forhånd... Derfor ville det være fedt om den kunne  fyre det direkte ind som jakobdo's gør... Hvad er sikkerhedsbristen da??

Please bare hjælp mig med mit spørgsmål! :D

Det er jo det jeg gør. Jeg kom med et forslag.

Sikkerhedsbristen er at du lader brugeren bestemme hvilken fil du ønsker at inkluderer. Men det virker som om du er ligeglad, og bare håber på at det så er een af dine egne filer der inkluderes.. Det er det nok også langt de fleste gange.. Hvis det ikke er, så kan vedkommende gøre hvad han har lyst til "i dit navn".

Jeg vil ikke hjælpe dig med at lave den slags. Umiddelbart tror jeg nemlig ikke du har overblik over hvad problemet egentlig er, samt hvad der kan gøres for at undgå det.

Jamen man vil jo til enhver tid kunne se at siden er inkluderet i URL'en... På den måde er det jo ikke en sikkerhedsbrist som sådan... Jeg vil gerne have den emd sikkerhedsbristen til at virke, for det vil lette mit arbejde i en del sammenhænge...!

Problemet er ikke URL'en i sig selv.

Problemet er at du lader brugeren bestemme DIREKTE hvad der skal inkluderes. Han kan inkludere samtlige (php - alt efter opsætning) filer på din webserver. *DET* er en sikkerhedsrisiko og den er helt unødvendigt. I det mindste bør der foretages nogle tjek så risikoen minimeres - og det tror jeg ikke du kender PHP godt nok til at kunne gøre og du virker total ligeglad.

Den slags ting har fået webhoteller hacket.

.. men det er jo self. op til dig. jacobdo kan jo hjælpe dig med den løsning - jeg vil ikke.

Vi kommer vist ikke videre her :-)

Nej jeg har ikke nok tjek på PHP, men hvordan kan et webhotel dog blive hacket pga at man kan adde filer selv?

Æv altså!