Falla grave nella sicurezza delle SESSION

[Jack991]

lavoro in remoto su un server hosting aruba non penso di poterlo toccare in alcun modo il php.ini...

com'era quella funzione per stamparlo? php_ini() ? qlcs del genere?

[Andrea1979]

con

phpinfo(); 

dovresti essere in grado di vedere come sono settate tutte le variabili etc del php.ini

Ora mi risulta difficile credere che un servizio hosting professionale si sia fatto sfuggire una banalità del genere, per cui magari è qualcos'altro che genera il problema descritto.

[Jack991]

phpinfo() !

cmq si è ON...

diamine...

[Jack991]

ma non ci posso fare niente??? ora mando una mail ad aruba e chiedo...

cosa comporta register global attivato?

[Andrea1979]

ecco, allora scrivi al supporto tecnico del tuo servizio hosting facendo notare la falla... nel frattempo puoi mettere una pezza provando ad includere ad includere in ogni tuo script un:

ini_set("register_globals", "off"); 

[piero.mac]

Originariamente inviato da Andrea1979
ecco, allora scrivi al supporto tecnico del tuo servizio hosting facendo notare la falla... nel frattempo puoi mettere una pezza provando ad includere ad includere in ogni tuo script un:

ini_set("register_globals", "off"); 

register_globals e' un PHP_INI_PERDIR

PHP_INI_PERDIR - 6 Entry can be set in php.ini, .htaccess or httpd.conf

era php_ini_all solo fino alla releas 4.2.3

[linoma]

Del problema di cui si sta parlando

[Andrea1979]

Originariamente inviato da piero.mac
register_globals e' un PHP_INI_PERDIR

PHP_INI_PERDIR - 6 Entry can be set in php.ini, .htaccess or httpd.conf

era php_ini_all solo fino alla releas 4.2.3

buono a sapersi.

[Jack991]

@linoma
ahhhhh ora con l'anchor ho realizzato scusa se ho dubitato di te eheh

@all
dunque ora mi sento un po' nabbo perchè non riesco a fare in modo di modificare questo c...o di flag

ho creato un file .htaccess contente una sola riga come segue:

php_flag register_globals off

e l'ho infilato nella documen_root.
Con grande gioia il server a deciso di darmi INTERNAL SERVER ERROR...

Ma il vero scandalo è che

<?php ini_set("register_globals", "off"); 
echo ini_get('register_globals').""; ?>

stampa 1.

Dopo essermi accertato che ini_get restituisce il valore della variabile in runtime (a differenza di get_cfg_var() che restituisce il valore nel file di configurazione) ho seguito questa strada:

ho creato un file php.ini come segue:

register_globals = Off

e l'ho messo nella documen_root.

eseguendo adesso il file a.php contente il codice:

<?php
var_dump(ini_get('register_globals'));

?>
ottengo:

string(0) "" se a.php si trova nella document_root
string(1) "1" se a.php si trova in una subfolder

sappiamo infatti che il php.ini applica le regole in esso definite solo alla cartella in cui si trova e non alle sottodirectory.

faccio un ulteriore prova:
butto nel doc_root il solito a.php così modificato

<?php
session_start();
$_SESSION['gatto'] = 'maronna santa';
var_dump($_SESSION['gatto']);
var_dump( $gatto);
?>

e mi restituisce
string(13) "maronna santa" NULL
quindi "sembra" funzionare.

sposto il solito a.php in una sottodirectory e...
string(13) "maronna santa" string(13) "maronna santa"

il test decisivo: sposto il php.ini nella subfolder in questione e...TA-DA! funziona il var_dump di $gatto è di nuovo null.

quindi dovrebbe bastare una copia di php.ini in ogni cartella per risolvere il problema, certo che è proprio una menata di c...o non esiste un modo per applicare un php.ini a tutte le subfolders?

scusate il dilungamento di questo post mi era presa bene rendervi partecipi della mia esperienza passo-passo.

[Jack991]

Soluzione del problema in sintesi:

Ho creato un file php.ini contenente unicamente la seguente riga:
register_globals = Off

questo file va salvato in tutte le cartelle del proprio sito.