g27, если $module никак не проверяется, то Вас могут взломать

как вам вот такой код



если $module никак не проверяется, то как могут взломать в данном случае? ведь хоть что прописывай, все равно условие будет либо true либо false и левая переменная явно будет false и перекинет на 404

а при чем здесь условие-то вообще?
речь о том, что подставят вместо модуля что-нибудь.
другое дело, что вряд ли какой-нибудь index.php может представлять интерес для взлома.

и никогда не делай так - @include
чтобы проверить, существует ли файл на диске, есть функции. is_readable() например

это код не мой, но мне он показался правильным


пример можно этого чего-нибудь?


почему? часто вижу такое в разных скриптах



если в папке modules не оказалось папки равной значению переменной $module, то переменная $module больше никуда и не идет. Поэтому я и сделал вывод, что хоть что пиши в переменную $module все равно ничего страшного не будет

Что значит "больше никуда не идет"? 
А куда она вообще может пойти? Даже если никакой проверки не будет?


никогда больше не повторяйте этих слов.
большая часть скриптов годится только на помойку.
учиться надо у тех, кто понимает, что делает.
а не у таких же новичков, которые точно так же копируют друг у друга, без малейшего понятия.

Оператор @ подавляет сообщение об ошибке. Чего делать нельзя ни в коем случае.

Добавлено через 49 секунд
да, и еще. по поводу "никуда не идет"

я так понимаю, что вы наивно полагаете, будто эта конструкция прекращает работу скрипта?

 потому что эти скрипты писали идиоты, не знающие php.

непонимаю что тут у меня плохо. 

например в базу данных если бы я ее вписывал или выводил на сайт.


а как узнать того кто понимает что делает? по книгам? книги так же тупо перепечатывают все кому не лень, английский язык я к сожалению плохо знаю чтоб читать зарубежных авторов


почему нельзя? я как администратор должен видеть ошибки, а пользователям то зачем их показывать? где то читал что mysql_error() нивкоем случае нельзя показывать пользователям, а использовать только при разработке и отладке скрипта.


не знаю, а разве нет? ну даже если и нет, то после этого у меня идет простой вывод шаблонов.

вы так и не привели пример что можно передать в переменную $module чтобы взломать сайт, ну или хотя бы как-нибудь заставить понервничать админа.

вот это правильно.

но собака подавляет ошибки для всех. именно поэтому ее не надо использовать.
тем более, что в данном контексте она совсем не для скрытия ошибки от пользователя поставлена.

За показ ошибок в браузер отвечает специальная настройка. она так и называется, display_errors
Именно ее и надо использовать. 


вот видите, вы даже правильную мысль читаете, но неправильно ее понимаете 
показывать нельзя - это правильно.
но использовать - обязательно! На работающем сайте она даже важнее, чем при разработке.
просто в браузер ее выводить не надо всем пользователям. а только админу.
и обязательно записывать в лог


книги тоже разные бывают.
вот теперь вы знаете, что если встретите в книге собаку, то эта книга плохая 


ну разумеется, нет. С каких это пор выдача заголовка в браузер прерывает работу скрипта?
поэтому если этот заголовок - Location, то после него в обязательном порядке всегда надо писать следующей стрjкой exit;


А это, собственно, и не я был, кто писал, что взломают 
Я написал, что вряд ли.
Но суть в том, что вообще-то, $module может указывать на любую папку на диске.

Вот Ваш код:


Запрос файла http://example.com/index.php?module=../upl...ser_file.txt%00

Позволит приинклудить файл пользователя, если, конечно, такое позволяет сайт (например, аттачмент текстового файла на форуме).

P.S. Правда атака расчитана на то, что magic_quotes_gpc = off

Это сообщение отредактировал(а) Pitlord - 8.11.2009, 22:53

 Про большинство авторов ты прав. Они не знают PHP.
Но самые лучшие книги переведены.
Гутманс, Шлоснейгл. 2 книги этих авторов. Остальные переведенные книги по PHP не читай - не пригодятся.

Pitlord, у меня не воспроизводится

Ипатьев, вот такой код запустите:



Приинклудился ли file.php?

да я тупанул, с файлом не проверил
почему-то я думал, что это дело давно пофиксили