ForumCała strona

Nawigacja

Aktualnie online

Gości online: 7

Użytkowników online: 0

Łącznie użytkowników: 25,386
Najnowszy użytkownik: Hisfatt

Logowanie

Nazwa użytkownika

Hasło



Zarejestruj się

Odzyskaj hasło

Shoutbox

Musisz zalogować się, aby móc dodać wiadomość.

Zbigniew@
28.04.2024 21:33:51
Nareszcie udało się .V9 Document checking completed. No errors or warnings to show.

JazOOn
27.04.2024 21:35:25
Jazda. Udało się. Firma rusza.

Zbigniew@
01.04.2024 12:28:45
Wszystkiego najlepszego z okazji świąt.

JazOOn
28.02.2024 19:25:31
ja zostałem przy fusionie ale nazywa się 360. Projektowanie i druk 3d...

MajsterBieda
25.02.2024 00:12:42
Ponad 20 lat .... tosz to sioook panie.... Grin

Pobierz nową wersję
Pobierz podręcznik
Zobacz inne oficjalne Supporty
Statystyki supportu
PHP-Fuson PL na Facebooku

RSS

Polecamy hosting SferaHost.pl

Zobacz temat

Polski Oficjalny Support PHP-Fusion » PHP-Fusion v5.00-v6.01 Support » Tylko o PHP-Fusion v6.01.xx
 Drukuj temat
Czy emulowane register_globals jest poważnym zagrożeniem?
Konto ukryte
Wyżej  #1 Drukuj posta
Dodany dnia 23.02.2009 08:57:19
Witam,
z tego co zauważyłem, problem dotyczy chyba wszystkich wersji PFv6.
Na początku maincore.php znajdujemy taki oto kod:

Pobierz kod źródłowy  GeSHi: PHP
  1. if (ini_get('register_globals') != 1) {
  2. 	if ((isset($_POST) == true) && (is_array($_POST) == true)) extract($_POST, EXTR_OVERWRITE);
  3. 	if ((isset($_GET) == true) && (is_array($_GET) == true)) extract($_GET, EXTR_OVERWRITE);
  4. }
Zinterpretowano w sekund: 0.013, wykorzystano GeSHi 1.0.8.10


Odpowiada on za "rozpakowanie" tablic POST i GET gdy opcja register_globals jest wyłączona. De facto robi więc to samo co ona, tyle że z poziomu samego skryptu.

Mam więc pytanie do administracji, która chyba najlepiej zna silnik: czy jest to oby na pewno bezpieczne rozwiązanie? W plikach typu news.php czy readarticle.php wszędzie są od razu odwołania do zmiennych, przykładowo:

Pobierz kod źródłowy  GeSHi: PHP
  1. if(isset($cat_id)) kod;
Zinterpretowano w sekund: 0.011, wykorzystano GeSHi 1.0.8.10


Obecnie przerabiam dużo w swoim serwisie, więc poprawienie kilku(nastu) plików to nie problem, zależy mi jednak na jak największym poziomie bezpieczeństwa.

W PF7 tego kodu już nie ma i stosuje się zalecane odwołania do superglobalnych. Co radzicie?
 
Wścibski Gość
Dodany dnia 04.05.2024 02:05:18
Pan Kontekstualny

Postów: n^x
Data rejestracji: Zawsze

 Polecamy hosting SferaHost.pl
IP: localhost  
Pieka
Wyżej  #2 Drukuj posta
Dodany dnia 23.02.2009 09:06:54
LukasAMD napisał/a:
..W PF7 tego kodu już nie ma i stosuje się zalecane odwołania do superglobalnych. Co radzicie?

Dokladnie i dlatego m.in. radzimy wykonac aktualizacje strony. To jedna z podstawowych roznic pomiedzy v6 i v7. Praca przy wlaczonym register_globals to otwarcie drzwi dla potencjalnych wlamywaczy, tym bardziej w przypadku mlodych koderow, ktorzy nie zwracaja uwagi na bezpieczenstwo swoich skryptow. Wiekszosc ostatnio odnotowanych wlaman polegala na wykorzystaniu wlaczonej w/w funkcji + brak zabezpieczenia kodu, czyli tzw. dziury.
Jestem jaki jestem Smile
 
www.php-fusion.pl
Konto ukryte
Wyżej  #3 Drukuj posta
Dodany dnia 23.02.2009 09:11:17
U mnie aktualizacja odpada bo mam w sumie EFIV po takich cięciach, że nawet PF5 miało więcej rzeczy Wink Jako że elementów z samego EF już nie ma (a dla mnie to oznacza, że korzystam z PF), napisałem w tym dziale.

Dodatkowe zmiany sytuacji nie ułatwiają Wink Niemniej jednak dzięki za info, usunę sobie tą dziurę.
 
Przejdź do forum:
Created by Arox Copyright (C) 2004
Copyright (C) 2004 - 2018 Ekipa PHP-Fusion.pl