include Befehl absichern

[schwierle]

Hallo,

ich habe ein Problem. Auf meiner Seite sollen an einer Stelle per include die Seiten eingefügt werden. Das Problem dabei ist, das das per link geschehen muss. also index.php?mod=ersteseite.html oder sowas. Jetzt könnte ja jemand an die Stelle einfach eine Datei auf einem anderen Server nehmen und das skript würde diese auslesen und ausführen, oder nicht?

Wie kann ich verhindern, dass er aus meinem Server hinausgeht, also externe Links annimmt. Indem ich den String untersuchen lasse nach nummern, oder nach www oder ähnlichen dingen?

mfg Schwierle

[feuervogel]

da:

http://www.php-faq.de/q/q-security-variablen.html

punkt 4.

[schwierle]

Hi, danke für die schnelle Antwort. Leider ist es nicht möglich einfach Pfade herauszulassen, da pfade auch in der form ./test.php oder sonstirgendwas vorkommen können. Ich habe daraufhin aber eine Idee gehabt, indem ich einen kompletten pfad zusammenbastel und dann prüfe, ob die Datei existiert.

//include befehl entschärfen
$include_data=$_GET['mod'];
//eigenen Arbeitspfad ermitteln
$path=getcwd();

//die zu includenen string auf . prüfen: wenn ja muss dieser entfernt werden und durch / ersetzt werden um einen voll gültigen pfad zu bekommen
if (substr($include_data,0,1)==".") {
$vollerpfad=$path.substr($include_data,1);
}
else {
$vollerpfad=$path."/".$include_data;
}

//es wird geprüft ob es sich um eine datei handelt, die auf dem Server liegt wenn ja darf sie ausgeführt werden
if (is_file($vollerpfad)) {
print "Datei vorhanden";
include($include_data);
}
else {
print "Datei NICHT vorhanden";
include("anfangsdatei.html");
}

Ist das so möglich? Kann man über include sonst noch schädlichen code einschleusen oder ist dies nicht möglich?

mfg Schwierle

[meikel (†)]

Da fehlt noch ein basename(), damit es sicher wird.

PHP-Code:

//include befehl richtig entschärfen
$include_data = basename($_GET['mod']); 


[|Coding]

Also, der wohl einfachste Weg mit guter Sicherheit ist dieser:

PHP-Code:

<?PHP
$files = array('home'      => 'bla/index.php',
               'news'      => 'bla/blubb/news.php',
               'impressum' => 'impressum.php');

if(!isset($_GET['page']))
  $_GET['page'] = 'home';

if (array_key_exists($_GET['page'], $files))
  include $files[$_GET['page']];
else
  include $files['home'];
?>

[schwierle]

vielen dank für die Antworten!!

mfg Schwierle