Discussion :

[hisy]

Bonjour,

Je viens de lire dans un post que la méthode include/Get était un trou de sécurité ...

C'est vrai que quelqu'un peut y inclure le fichier qu'il veut ...

N'y a t il pas moyen de la sécuriser ( en vérifiant que le fichier inclus ne contienne pas de http:// par exemple ...)

J'ai plusieurs applis qui tourne comme ca ... et je préfererai les sécuriser plutot que de les recommencer ...

[khayyam90]

en effet, c'est une faille qu'il est tres facile de mettre, sans meme s'en apercevoir.

le cas le plus dangereux est celui ou tu inclues un fichier sans chercher a savoir si c'est un fichier sain ou pas.

donc, si tu recuperes un argument par index.php?affich=machin.php

en faisant ensuite dans le script php un include($HTTP_GET_VARS['affich']), c'est la porte ouverte a tous les abus et toutes les attaques. C'est pourquoi il est fortement conseille de construire toi meme le nom du fichier a inclure a partir des arguments de l'url :

par exemple faire une url du genre index.php?affich=machin
et ensuite faire un

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
$file = "./".$HTTP_GET_VARS['affich'].".extension_de_ton_choix";
include ($file);

ainsi, l'argument qui peut etre dangereux est encadre par des caracteres que tu fixes.
Et ainsi, il est impossible d'injecter des pages d'autres sites.

Sinon, tu peux utiliser la methode decrite ici ou il est explique comment se servir des fonctions d'analyse de fichiers (fread et ses soeurs) pour gerer des templates.

[hisy]

Bonjour

Quels sont les risques réelement encourus ... ???
J'ai fait quelques tests mais il sembles que les actions contenure dans le fichier inclus soient exécutées sur le serveur qui héberge le fichier inclus en question ... donc ... pas de dégâts de mon coté ...

Merci

[khayyam90]

et bien ... j'ai moi aussi fait quelques tests avec 2 serveurs, l'un (A) incluant un fichier heberge par l'autre (B) et .... j'ai bien reussi a modifier le serveur A. J'ai juste fait une creation de fichier, j'aurais tres bien pu ouvrir en ecriture un fichier, disons par exemple index.php (a condition que les droits soient suffisants)

Lorsque le fichier a inclure etait en .php, en effet, il etait interprete sur le serveur B (donc aucun danger), mais par contre, lorqu'il portait l'extension .oulala il n'etait pas interprete sur B mais sur A ....

Bon, ensuite, ca depend du serveur qui heberge le fichier a inclure et de sa config. Certainex extensions sont interpretees et d'autres non.

[trattos]

Ce n'est pas une faille de sécurité, mais ça peut l'être si tu codes mal
Si tu peux inclure un fichier directement en ajoutant son url dans la barre d'adresse alors là oui!