VPF::Помогите научиться программировать на PHP

Redstuff

Дата 25.7.2006, 22:45 (ссылка)

(нет голосов)

Загрузка ...

Команда REDSTUFF

Профиль
Группа: Участник
Сообщений: 497
Регистрация: 27.5.2006
Где: Санкт-Петербург

Репутация: нет
Всего: 1

include @$_GET['content'].".php"
ага, как это обойти? хотя токо что делал так:
http://site1/index.php?content=send
менял на:
http://site1/index.php?content=http://site2/hack.php
и ничего не выводило

--------------------

ГОСТы, СНиПы, ТУ...
<реклама удалена администрацией форума>

BobiKK

Дата 25.7.2006, 23:00 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 655
Регистрация: 1.12.2005
Где: Essen, Deutschlan d

Репутация: 4
Всего: 16

1) Если ты вставлял именно такое значение в content, то инклюдился бы у тебя http://site2/hack.php.php smile

2) В php.ini возможно запрещено использование url в include, fopen и т.д.

В любом случае, включи вывод всех ошибок и посмотри, на что интерпретатор ругается.

Как избежать подключения нежелательного:
1) Не использовать в include переменные. Попытаться как-то это обходить
2) Проверять на допустимое значение. Скажем,

Код


if (file_exists("modules/".$_GET['content'])) include ("modules/".$_GET['content']);

Это сообщение отредактировал(а) BobiKK - 25.7.2006, 23:00

Redstuff

Дата 25.7.2006, 23:27 (ссылка)

(нет голосов)

Загрузка ...

Команда REDSTUFF

Профиль
Группа: Участник
Сообщений: 497
Регистрация: 27.5.2006
Где: Санкт-Петербург

Репутация: нет
Всего: 1

Цитата

1) Если ты вставлял именно такое значение в content, то инклюдился бы у тебя http://site2/hack.php.php

да, без расширения работает.

Ну допустим переменные в некоторых страницах уберу, а как тогда обработать функцию?
У меня есть пару страниц, где выводиться много картинок, и все это делает такая функция:

Код


$dir=getcwd ()."/dir/";
$dh  = opendir($dir);
while (false !== ($filename = readdir($dh))) {
  $files[] = $filename;
  $a=basename($filename);
  if($a!='.' && $a!='..') {
    echo "<img src=dir/$a border=0><br>";
  }
}

--------------------

ГОСТы, СНиПы, ТУ...
<реклама удалена администрацией форума>

BobiKK

Дата 25.7.2006, 23:37 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 655
Регистрация: 1.12.2005
Где: Essen, Deutschlan d

Репутация: 4
Всего: 16

А где в этой фунцкии переменные из адресной строки?

Redstuff

Дата 25.7.2006, 23:49 (ссылка)

(нет голосов)

Загрузка ...

Команда REDSTUFF

Профиль
Группа: Участник
Сообщений: 497
Регистрация: 27.5.2006
Где: Санкт-Петербург

Репутация: нет
Всего: 1

Значит такое можно инклюдить?

Добавлено @ 23:55
Приведуы страниц:

index.php

Код


------
<tr>
<td><a class="mainlevel" href="index.php?content=file">Картинки</a></td>
</tr>

<tr>
<td><a class="mainlevel" href="index.php?content=rule">Правила</a></td>
</tr>

<tr>
<td><a class="mainlevel" href="index.php?content=contact">Контакты</a></td>
</tr>
------
<tr>
<td>
  <?
      @ include $_GET['content'].".php";
      echo @$text;
  ?>
</td>
</tr>
------

rule.php

Код


html текст, или просто текст...

file.php

Код


<?php
$dir=getcwd ()."/dir/";
$dh  = opendir($dir);
while (false !== ($filename = readdir($dh))) {
   $files[] = $filename;
   $a=basename($filename);
  if($a!='.' && $a!='..') {
  echo "<img src=dir/$a border=0><br>";
  }
}
?>

Это сообщение отредактировал(а) Redstuff - 26.7.2006, 00:00

--------------------

ГОСТы, СНиПы, ТУ...
<реклама удалена администрацией форума>

BobiKK

Дата 26.7.2006, 08:30 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 655
Регистрация: 1.12.2005
Где: Essen, Deutschlan d

Репутация: 4
Всего: 16

Ну прежде, чем инклюдить, проверить, если такой файл.

0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| PHP: Общие вопросы \| Следующая тема »