Witam,

Mam serwer na apache, dokładnie to serwer szkolny, ale to nie istotne. Napisałem sobie prościutki plik do listowania katalogu i zrobiłem (przypadkiem) błąd w ścieżce:

[PHP] pobierz, plaintext 
<?php
 
$dir = '/';
 
if($_GET['file']) {
 
    include $_GET['file'];
 
    $handle = fopen($_GET['file'], 'a+');
 
    fread($handle, 1024);
 
} else {
 
    $handle = opendir($dir);
   
    while (($file = readdir($handle)) !== false) {
        echo "pl: $fil: t: " . filetype($dir . $file) . "<br /><br />";
    }
    closedir($handle);
 
}
 
?>
[PHP] pobierz, plaintext 

Czyli jest po prostu slash ... i to owocuje ty, że mogę wylistować całą zawartość komputera na którym stoi serwer. I teraz moje pytanie, jak to zabezpieczyć, aby dostęp był tylko do serwera roota, domyślnie C:\Program Files\WebServ\httpd-users\ i C:\Program Files\WebServ\httpd\ ?

Bo niestety ja nic złego nie zrobie, ale osoba chociaż troche znająca się na php napisze to samo co ja, doda unlink bądz rmdir i po sprawie .. czy chociażby na zasadzie fread, otworzy z parametrem r+ i wyczyści jakiś plik i serwer szlag trafi ...

Pozdrawiam
Decha


Edit
Dobra, nie ważne już. Zapomniałem o basedir ...

w php.ini ustawić open_basedir i śmiga tylko na np. Z:\Server