Zaštita od hakovanja

[Misko]

Nisam neki vičan PHP koder (učim se polako) i imam jedan problem... imam skript (stranu) u kome se delovi učitavaju u zavisnosti od HTTP_GET_VARS-a, tj od parametara koje prosledim kroz link... u kodu to izgleda ovako

<? 
$page=$HTTP_GET_VARS["p"];
?>

a onda gde mi je to potrebno štampam:

<? include $page.".php";?>

e sad u čemu je problem... dešava mi se da mi hakuju sajt i koriste ga za phishing. Ukapiram ja u čemu je problem ali neznam da ga rešim... pa je moje pitanje:

kako da proverim da li se fajl koji učitavam nalazi na mom serveru i ako se nalazi, onda da dopustim da se smesti u varijablu tj. odštampa gde je potrebno?

[dinke]

Sto bi rekao Harry Fuecks, ovaj tvoj nacin je "path to serious hair loss"

Elem, ako vec zelis da ukljucujes php strane u zavisnosti od request stinga, onda trebas da uradis sledece:

1) listu dozvoljenih vrednosti za tu 'page' variablu cuvas u nekom array-u tipa:

PHP kôd:

$allowed_pages = array('foo','foo1','foo2');
if(in_array($_GET['page'], $allowed_pages))
{
  //nastavljas sa inludom
}
else
{
  //neko pokusava da te hakuje!
} 


2) nemoj page variablu da zoves page, mozes da joj das neko manje smisleno ime koje potencijalnom hakeru nece odmah reci za sta se koristi.
3) Mozes koristiti jednostavan metod "kriptovanja" (ovo nije naravno pravo kriptovanje) sadrzaja query stringa sa base64_encode/base64_decode f-jama.

I naravno, nikada ne veruj onome sto ti stize sa druge strane (usera). Za vise informacija, mozda da potrazis "Php Architect Guide to Security", mislim da se tako zove knjiga.

[Blood]

Uh, kod koji sam postavio ne valja nista

Ako ti treba knjiga koju je Dinke spomenuo, javi mi se na pp i poslacu ti je...

[Ilija Studen]

Pretpostavimo da je struktura ovakva:

/pages/
/pages/homepage.php
/pages/about.php
index.php

index.php kroz koji idu svi zahtevi mogao bi da ide ovako:

PHP kôd:

$page = isset($_GET['page']) ? $_GET['page'] : 'homepage';
$page_path = dirname(__FILE__) . '/pages/' . $page . '.php';
if(is_file($page_path)) {
  include $page_path;
} else {
  die("A to bi ti!!! E nem're!");
} 


[bluesman]

Uh bre, Misko, pa to je jedna od prvih "NO-NO" stvari koje treba da naučiš. Ima dosta članaka na temu security i PHP, trebalo bi da potrošiš par dana da pročitaš to pa onda da prepraviš svoj kod.

Možda izgleda kao veliki napor, ali veruj mi da ćeš se rešiti glavobolja kao što je ova. Pročitaš jednom i "vozi miško"

[misk0]

Ilijin nacin ima i dobrih i losih stvari:
- na taj nacin, lako inkludujes nove stranice bez ikakvog 'instaliranja'
- isto tako haker moze tako da ukljuci stranice koje ti ne zelis da javno prikazes.

Jedan nacin bi bio da napravis (kako se zvase.... ) niz :
["p1"] = "page1.php";
["p2"] = "otherpage2.php";
........

Tako kad zelis da uradis include, prvo provjeris da li se element nalazi u nizu, ako jeste, inkludujes tacno stranicu koja je u nizu (a ti si napunio taj niz).

[Ilija Studen]

Način funkcionisanja ove skriptice je prilično jednostavan:

* sve što je u /pages može biti prikazano automatski, nema "instaliranja"...
* sve van /pages je nevidljivo skripti (tj. haker ne može da ga koristi)
* pošto se koriti apsolutni path nema protokola tako da nema učitavanja resursa spolja
* forsirana je .php ekstenzija tako da sama stranica mora da bude izvršiva

Ako nešto ne želi da bude dostupno kroz index.php neka ga ne stavalja u /pages. Jako jednostavno...

Ovo je jedno od onih "sipaš i ne misliš" rešenja. Strašno je jednostavno, a opet ga je teško oboriti.

[dee]

Originalno napisao Blood

Uh, kod koji sam postavio ne valja nista

Ako ti treba knjiga koju je Dinke spomenuo, javi mi se na pp i poslacu ti je...

trebalo bi meni...imas li jos koji primjerak?

[oliver]

Originalno napisao dee

trebalo bi meni...imas li jos koji primjerak?

ajd i meni, cini mi se da nemam to u "arhivi".

...ili okacite na Host011 tracker

[zark0vac]

Ja sam svakako za koriscenje nizova i samo nizova sem kada je izricito receno da se ne radi sa nizovima :-))

Najlaksa 100% sigurna varijanta.