LEVARE allocazione automatica di $_GET e $_POST

[andr3a]

servizi.php?servizio=lista



....



if(isset($_GET['servizio'])) {

$dir_scripts = '/cartella/';
$file = basename($_GET['servizio']);
if(is_file($dir.$file) && file_exists($dir.$file)) {
include($dir.$file);
}
else {
echo 'caxxo cerchi ???';
}
}


P.S. tutte le GET utili allo script, come le POST; vanno sempre minuziosamente controllate

[Nokao]

Originariamente inviato da Fabio Heller
Hai visto la soluzione PHP che ti ho proposto?

E' buona e giusta ma su altervista come sulla maggior parte degli hosting online non ho cartelle FUORI dalla document root.

Se avessi banda per questo portale lo metterei sul mio server in 5 minuti...

Per quanto riguarda il chmod guardate qui che vergogna:
SITE CHMOD 600 file.jpg
200 Su AlterVista non serve cambiare i permessi ad un file/cartella è come se avvessero già 666/777

[Fabio Heller]

Mi riferisco alla solzuione che fa il il controllo su __FILE__ , controllo da mettere dentro ogni include

[Nokao]

Non risolve il mio problema...... se non posso nascondere una cartella devo assicurare ogni file con una query al database.

[Fabio Heller]

Quella cosa è esattamente come nascondere i file, fai una prova

[Nokao]

Originariamente inviato da Fabio Heller
Ciao,

i file di inclusione non devo essere raggiungibili direttamente via browser.
Inseriscili in una directory esterna alla documentRoot o protetta (attraverso i settaggi di apache) dall'accesso diretto http.

Altra soluzione, mettere nei file da includere

if(__FILE__ == $_SERVER['SCRIPT_FILENAME'])
{
exit('Vietato accedere direttamente al file') ;
}

Siccome insisti probabilmente sbaglio io.... allora ti richiedo informazioni.

Io non ho accesso ad aree esterne alla mia document root, perche' sto usando altervista e non il mio server di casa.

Come posso mettere i file al di fuori della document root su altervista?

[piero.mac]

__FILE__

ti rende il percorso assoluto di dove e' allocato il file in cui hai messo la stringa.

http://it2.php.net/manual/it/languag...predefined.php


$_SERVER['SCRIPT_FILENAME'])

Ti rende il percorso assoluto e nome del file che sta eseguendo lo script

http://it2.php.net/reserved.variables

Quindi se __FILE__ e' uguale a $_SERVER['SCRIPT_FILENAME'])

significa che la pagina e' stata chiamata direttamente nell'url e non da un'altro file e quindi ti butta fuori. Se e' diverso significa che quella pagina e' richiamata da altro file che include la pagina e la esegue.

Unica eccezione sarebbe quella in cui lo script ti giri su server windows: __FILE__ ti renderebbe il percorso con backslashes

c:\path\file

invece di /path/file e l'uguaglianza andrebbe a farsi benedire.

Puoi rimediare con:

$str = str_replace('\\\', '/', __FILE__);

if($str == $_SERVER['SCRIPT_FILENAME']) {

@scusa Fabio se ho tentato di interpretarti....

[Nokao]

Allora perdonate la mia ignoranza in materia di inclusioni

Le ho sempre usate cosi' alla cazzo.

Grazie a questa cosa, se funziona, posso evitare tutti i controlli nelle pagine php che includo...

Il che tral'altro significa anche meno query al database (su altervista sono contate).

[fcaldera]

proprio quello che cercavo: è geniale... dovreste provarla.


è non è nemmeno una yaris

[Nokao]

Grazie, niente male sta cosa.