Forum PHP.pl > [php] Pobieranie plików z kilku folderów

Pomoc - Szukaj - Użytkownicy - Kalendarz

Pełna wersja: [php] Pobieranie plików z kilku folderów

kamilns

30.07.2007, 15:17:03

Witam Serdecznie

Posiadam stronę opartą na php. Pliki (tekstowe) są ciągnięte z folderu o nazwie "site" np. plik o nazwie prawo.txt ma adres www.kowalski.pl/prawo.html (maskowanie urli mam także)

Potrzebuję zrobić aby pliki były dodatkowo ciągnięte jeszcze z jednego katalogu - oprócz katalogu site jeszcze z katalogu o nazwie: "inne"

Bardzo proszę o pomoc w przerobieniu tego kodu (wnioskuje, że to on odpowiada za to - chyba środkowa część tego kodu):

<?php
if ($_GET['pg'] == "") {

include ('site/main.php');

} else {

include ("site/$_GET[pg].php");
}
echo '<br>';
$cnt->draw();
?>

Bardzo proszę o przerobienie tego w miarę możliwości - ja niestety nie mam o tym zielonego pojęcia jak modyfikować taki kod. Będę bardzo wdzięczny za uzyskaną pomoc.

Kamil

wlamywacz

31.07.2007, 10:40:29

Można jaśniej ? A i na moje oko ten kod jest troszkę niebezpieczny z tym includowaniem

pojas

31.07.2007, 14:58:15

[PHP] pobierz, plaintext 
<?php
if( file_exists( './site/'.$_GET['pg'].'.php' ) && ! file_exists( './inne/'.$_GET['pg'].'.php' ))
{
	// jeśli plik istnieje (TYLKO w folderze "site") wczytuje jego kod
	include( './site/'.$_GET['pg'].'.php' );
 
} elseif( file_exists( './inne/'.$_GET['pg'].'.php' ) && ! file_exists( './site/'.$_GET['pg'].'.php' ) )
{
	// jeśli plik istnieje (TYLKO w folderze "inne") wczytuje jego kod
	include( './inne/'.$_GET['pg'].'.php' );
} else
{
	// w przeciwnym przypadku wczytuje kod pliku "main.php"
	// czyli także w przypadku takich samych plików w folderach "site" i "inne"
	include( './site/main.php' );
}
?>
[PHP] pobierz, plaintext

O to chodzi?

kamilns

31.07.2007, 16:23:07

Bardzo ale to bardzo dziękuję "Pojas"

Śmiga aż miło. Mam jeszcze jedno pytanie w związku z tym - czy jest to bezpieczne dla strony ? (ten kod odpowiada za wyświetlanie mojej strony - plików - treści. Użytkownik "włamywacz" stwierdził, że może to być niebezpieczne.

pojas

31.07.2007, 16:48:18

Wydaje mi się, że jest dobrze. Jednak mogę się mylić

Cytat

na moje oko ten kod jest troszkę niebezpieczny

Możliwe, że chodziło mu o to, że wczytywanie pliku "na ślepo" jest niebezpieczne, bo włamywacz może wklepać magiczny adres a wczytany zostanie kod niekoniecznie z Twojego serwera, niekoniecznie bezpieczny i przyjazny kod

( przeczytaj ten post, a najlepiej cały temat ).
Nie wydaje mi się, żeby taki chwyt można było zastowować na tym skrypcie.

envp

31.07.2007, 16:54:16

a co da :

?pg=../../../../../../../../../../../etc/passwd%00

pojas

31.07.2007, 17:41:43

Cytat

Rozwiązanie 1.

Tworzymy taki include:
Kod php

[PHP] pobierz, plaintext 
<?php
include('./'.$_GET['katalog']);
?>
[PHP] pobierz, plaintext

Taka instrukcja pozwala na dołączanie jedynie plików które znajdują się w katalogu ze skryptem czyli nie można załączyć pliku z innego serwera.

./ jest w kodzie...hmm
Pewnie chodzi o wyświetlenie tajnego pliku w ramach serwera, ale czy te ./ nie jest rozwiązaniem? Jeśli nie jest, moża wykorzystać funkcję ctype_alnum:

[PHP] pobierz, plaintext 
<?php
if( ctype_alnum($_GET['pg']) == true || $_GET['pg'] == '' )
{
	if( file_exists( './site/'.$_GET['pg'].'.php' ) && ! file_exists( './inne/'.$_GET['pg'].'.php' ))
	{
		// jeśli plik istnieje (TYLKO w folderze "site") wczytuje jego kod
		include( './site/'.$_GET['pg'].'.php' );
 
	} elseif( file_exists( './inne/'.$_GET['pg'].'.php' ) && ! file_exists( './site/'.$_GET['pg'].'.php' ) )
	{
		// jeśli plik istnieje (TYLKO w folderze "inne") wczytuje jego kod
		include( './inne/'.$_GET['pg'].'.php' );
	} else
	{
		// w przeciwnym przypadku wczytuje kod pliku "main.php"
		// czyli także w przypadku takich samych plików w folderach "site" i "inne"
		include( './site/main.php' );
	}
}
?>
[PHP] pobierz, plaintext

Teraz jest bezpieczniej? Teraz jest bezpiecznie ?

kamilns

31.07.2007, 19:45:33

Nie znam się na tym ale pewnie jest bezpieczniej ;-) Dziękuję "Pojas" za okazaną mi pomoc. Masz duże piwo u mnie ;-)

To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.