---

På en windows 2000 server med IIS, er det muligt at lave lidt php kode også
se alt på disken.

Udpluk af koden:
<?php
if($php == "show") {
if ($dir = @opendir($dire)) {
while (($file = readdir($dir)) !== false) {
if($file=="." or $file=="..") continue;
if(eregi("/",$dire)) $dire = $dire; else $dire = "$dire/";
echo "<font size=1 face=verdana><a
href='index.php?php=show&dire=$dire/$file'>$file</a> - <a
href='?php=hej&dire=$dire/$file'>Se filen</a><br><br>\n";
}
closedir($dir);
}
}
if($php == "hej") {
$file = implode('', file($dire));
print $file;
}
?>

Hvordan lukker man for at PHP´en kan komme udenfor sit eget dir?

---

"Jan" <mcp@ofir.dk> writes:

> Hvordan lukker man for at PHP´en kan komme udenfor sit eget dir?

Det hjælper ihvertfald en del at slå safe mode til.

http://www.php.net/manual/en/features.safe-mode.php

--
Med venlig hilsen
Christian Laursen

---

"Christian Laursen" <xi@borderworlds.dk> skrev

> Det hjælper ihvertfald en del at slå safe mode til.

Okey, men jeg har følgende i php.ini:

; Safe Mode
safe_mode = off
safe_mode_exec_dir = 1
safe_mode_allowed_env_vars = PHP_

Fejl i den del?

---

Jan <mcp@ofir.dk> wrote:
> "Christian Laursen" <xi@borderworlds.dk> skrev
>> Det hjælper ihvertfald en del at slå safe mode til.
>
> Okey, men jeg har følgende i php.ini:
>
> ; Safe Mode
> safe_mode = off
> safe_mode_exec_dir = 1
> safe_mode_allowed_env_vars = PHP_
>
> Fejl i den del?

Ja, har du overhovedet laest manualen til PHP? Hvis du skal have safe_mode
aktiveret, hvad i ovenstaaende tror du saa der skal aendres?

Hvis du vil til at skrive PHP der tager imod brugerinput skal du laere at
skrive sikker kode; laes blandt andet afsnittene om input validation og PHP i
David Wheeler's bog:

   http://www.dwheeler.com/secure-programs/

--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.area51.dk/

---

Alex Holst wrote:
> Hvis du vil til at skrive PHP der tager imod brugerinput skal du laere at

Eller skriver i andet sprog, alt for mange overser brugerinput.

---

Christian E. Lysel <chlyshoswmdatapunktumcom@example.net> wrote:
> Alex Holst wrote:
>> Hvis du vil til at skrive PHP der tager imod brugerinput skal du laere at
>
> Eller skriver i andet sprog, alt for mange overser brugerinput.

I netop dette tilfaelde goer det ingen forskel hvilket sprog man
vaelger. Utilstraekkelig validering af brugerinput kan faa samme
konsekevens i C, PHP, Python og Perl: Hvis koden blindt indsaetter
brugerinput i et SQL eller system() kald goer det ingen forskel hvilket
sprog implementeringen er i.

PHP har saa andre problemer, men de er veldokumenterede[1] saa der er
ingen grund til at komme ind paa det her.


[1] <http://www.dwheeler.com/secure-programs/Secure-Programs-HOWTO/index.html>
--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.area51.dk/

---

Alex Holst wrote:
>>>Hvis du vil til at skrive PHP der tager imod brugerinput skal du laere at
>>Eller skriver i andet sprog, alt for mange overser brugerinput.

Ups, jeg fik formuleret mig uheldigt. Jeg mente blot at der eksitere de
samme problemstillinger for andre programmeringssprog og at det ikke kun
er begrænset til PHP.

> I netop dette tilfaelde goer det ingen forskel hvilket sprog man
> vaelger. Utilstraekkelig validering af brugerinput kan faa samme

---

On Wed, 19 Jun 2002 12:18:51 +0200, "Jan" <mcp@ofir.dk> wrote:

>
>safe_mode = off

Hvad er forskellen på on/off?

/Brian
--
Min private babeside.
http://www.patricia-brinch.dk

---

"Brian B. Christensen" <bbcdk@hotmailen.com> skrev

> >safe_mode = off
> Hvad er forskellen på on/off?

Om den hedder on eller off, så virker scriptet endnu.?

---

On Wed, 19 Jun 2002 13:05:44 +0200, "Jan" <mcp@ofir.dk> wrote:

>Om den hedder on eller off, så virker scriptet endnu.?

Prøv at spørg i dk.edb.internet.webdesign.serverside.php

De ved måske noget om det


Mvh. Brian
--
Min private babeside.
http://www.patricia-brinch.dk

---

On 19 Jun 2002 10:05:01 +0200, Christian Laursen <xi@borderworlds.dk>
wrote:

>Det hjælper ihvertfald en del at slå safe mode til.

Selv med safe mode har man kunne kigge ud af sit eget hjemkatalog med
dir-klassen. Man kan til gengæld stadigvæk ikke åbne selve filerne.
--
- Peter Brodersen