мой скрипт

← →
гастрит © (2006-08-21 06:49) [0]

Помогите разобраться!!!
Скрипт вставляет с помощью require содержимое файла, имя которого передавалось данному скипту с помощью ссылки с переменной, например /?filename=111.php. Я тут подумал, если злоумышленник получит доступ к папке, где лежат эти файлы, и заменит их своими, только со своим опасным скриптом, то моему сайту может прийти конец? Как поступают обычно в таких случаях?

← →
_dimka © (2006-08-21 10:18) [1]

передавать имя модуля, имена модулей и ссылки на их файлы хранить где-то у в табличке или еще где нить, так у нас будет ссылка выглядеть так
index.php?module=news (к примеру)
вот ті вібираеш из таблицы (или чего нить еще) строку где имя модуля равно news смотриш, где он и уже его подключаеш, если такого нет то переадресовываеш на index.php или еще куда нить...

← →
Furyz © (2006-08-21 11:38) [2]

смотреть как действует пхпнюк
> [1] _dimka ©

Согласен , надо сделать таблицу имя модуля - файл
и смотреть и открывать соответственно

← →
SerJaNT © (2006-08-22 13:15) [3]

> Согласен , надо сделать таблицу имя модуля - файл
> и смотреть и открывать соответственно

Если проверять файл на существование fileExists(), то и никаких таблиц не понадобится и злоумышленик не получит доступ. ну, естественно, нужно еще проверять на спец символы.

← →
_dimka © (2006-08-22 16:12) [4]

> [3] SerJaNT © (22.08.06 13:15)

Можно и так, просто предложил один из вариантов, как сам делал...
ЗЫ: только не fileExists(), а file_exists() ;)

← →
SerJaNT © (2006-08-23 01:39) [5]

А лучше, конечно так:

if (isset($filename)) { switch ($filename) { case "filename1": include "files/filename1.php"; break; case "filename2": include "files/filename2.php"; break; default: print "Страница не существует! 404 типа!"; break; } }

← →
гастрит © (2006-08-23 01:45) [6]

> Если проверять файл на существование fileExists(), то и
> никаких таблиц не понадобится и злоумышленик не получит
> доступ. ну, естественно, нужно еще проверять на спец символы.
>

А если, допустим, файл-то существует, но заменят его содержимое?

← →
гастрит © (2006-08-23 01:46) [7]

а, все, понял, протупил...

> А если, допустим, файл-то существует, но заменят его содержимое?

если ты допустиш чтобы файл подменили, тебя ничто не спасет от взлома :)

> если ты допустиш чтобы файл подменили, тебя ничто не спасет
> от взлома :)

тогда смысл сабжа?
можно и имя файла передавать

> тогда смысл сабжа?
> можно и имя файла передавать

можно, но только с проверкой на file_exists, иначе можно будет передать имя удаленного файла...

мой скрипт Найти похожие ветки