Und was ist wenn du einen link wie seite wie forum_board oder so hast
? ich würde noch unterstirch gelten lassen
Das ist ja letztendlich nur eine Kleinigkeit. Ich bin ja nur von seinem Beispiel ausgegangen und habe es deshalb nicht weiter erwähnt. Ich für meinen Teil hätte das alles sowieso mit Mod_Rewrite realisiert und "/" ebenfalls erlaubt wie "-" und "_" =)
Aber das kann er sich ja nun selber machen, ganz so, wie er möchte. Denn wozu gibt es Google und genug PHP Hilfe-Seiten, um herauszufinden, wie die Befehle funktionieren?!
Lg
Also ich habe mir angewoehnt das alles zend machen zu lassen laeuft am ende ueber einen rewrite aber hast am ende großen vorteil mit der lesbarkeit deiner website, wegen den controllern und den actions.
lass es in html, bevor du rumpfuschst. Wie schon vorher erwähnt, sind LFI sehr sehr sehr sehr sehr sehr sehr sehr gefählich. ich sagte nur shadow bzw passwd datei
wenn aber alles in html schreibst kannst es eigendlich gleich sein lassen du hast ja null dynamischen inhalt drin und darfst bei einer Änderung das überall nach ziehen, oder du baust für eine teilweise dynamik auf JavaScript.
Ich habe so ein Script bei einer anderen Seite gefunden:
<?PHP
if(isset($_GET['s']) && !empty($_GET['s']))
{
if(file_exists("./pages/".$_GET['s'].".php"))
{
include("./pages/".$_GET['s'].".php");
}
else {
include("./pages/home.php");
}
} else
{
include("./pages/home.php");
}
?>
Wäre der "gefährlich"? Oder soll ich lieber das mit der Whitelist ect. nehmen?
Sogesehen schon.
Stell dir vor, jemand gibt
ein, dann wird der Pfad zu ./pages/../config.php, und das wiederum hätte (zumindestunter Linux) den Effekt, das du die Config.php im Hauptverzeichnis aufrufst.
Kleine Frage, warum nutzt nicht eines der vorangegangenen Beispiele, eingeschlossen meines. Das ist doch soweit gesichtert?!
Liebe Grüße
Ich habe bei einen Free Template das rauskopiert, da das die meisten besitzen (Eins der wenigen Minecraft Templates) Werde aber für meine wahrscheinlich deins nehmen
Ich emPfehle die php Version da sich Änderungen am Design weit aus einfacher gestalten
klar ist die version gefährlich. nehmen wir an die version läuft auf debian und liegt im ordner /var/www/user100
würde jemand
index.php?s=../../../etc/passwd%00
das eingeben, würd er die password datei auslesen.
@Kalle, wenn da jemand ../config.php eingibt, bringt das garnichts, da die datei config.php.php sicher nicht existiert, man müsste ein nullbyte (%00) nach dem .php setzten ODEE man läst das .php gleich weg.
ich finde du verharmlost das extrem. Wenn man deine beiträge so liest, könnte man dneken, dass man dadurch nur php datei auslesen kann
@Kalle, wenn da jemand ../config.php eingibt, bringt das garnichts, da die datei config.php.php sicher nicht existiert, man müsste ein nullbyte (%00) nach dem .php setzten ODEE man läst das .php gleich weg.
Öhhm, sogesehen ist das ja auch nur ein Beispiel gewesen, und ja, auch ich kann mich mal vertippen. Außerdem wurde das, hättest du wirklich alles gelesen, schon öfters durchgekaut.
ich finde du verharmlost das extrem.
Ich verharmlose das nicht. Bloß soll ich deswegen mit großen Ausrufezeichen jemanden einbläuen, das er das überhaupt nicht verwenden darf? Ich kann ja mal zitieren, wie andere vor mir bereits gesagt haben, das dies eine gefährliche Lücke ist. Was soll ich denn da noch großartig ergänzen?
1. Siehe [Link: Registrierung erforderlich]
2. [Link: Registrierung erforderlich]
3. [Link: Registrierung erforderlich]
4. [Link: Registrierung erforderlich]
Und ich halte die anderen Forenmitglieder für intelligent, und gehe davon aus, das diese bemerkt haben, das es unsicher ist.
Wenn man deine beiträge so liest, könnte man dneken, dass man dadurch nur php datei auslesen kann
Siehe Zitat Nr.3, ich habe im letzten Satz erwähnt, das der Zugriff auf Systemdateien möglich ist. sofern man den Webspace falsch konfiguriert hat. Was willst du noch?
Und bitte, lasst uns mit dem Kram aufhören, und zum eigentlichen Thema zurück kommen und nicht mit solch einem Kinderkram aufhalten, denn man konnte alle Infos, denen du mich beschuldigt hast, zu verharmlosen, aus anderen bzw. aus meinen Beiträgen heraussuchen. Und dann soll ich bei jedem Beitrag noch ein "Achtung, gefährlich!!!" drunterschreiben?
Weiteres bitte per PN und nicht hier im Thread. Danke =)
Liebe Grüße