Wie sicher ist GET ?

[Dimitrj]

Hi Leute

Ich bin grad etwas überfordert mit PHP-Sicherheit.
Hab schon zu viel davon gelesen und gesucht und sehe/finde den Wald vor lauter Bäume nicht - möchte aber trotzdem ganz sicher sein.

Darum die Frage:

Wenn ich GET ungeprüft in einer if-Abfrage verwende, könnte man ja Fremdcode einschleusen. (?)
Also muss ich das z.B. durch

 if (htmlspecialchars($_GET['srt'])!=1)

verhindern. (?)

Danke im Vorausfür die Hilfe

Dimitrj

 

[MyBad]

AW: Wie sicher ist GET ?

Also wenn du nur Zahlenwerte per GET übergibst, würde ich es beim Auslesen daraufhin prüfen. Dann kann schon mal nichtsschlimmes mehr passieren. Das Thema gabe es hier im Forum aber schon oft. Musst mal hier suchen.

 

[Duddle]

AW: Wie sicher ist GET ?

Fremdcode?

Das geht natürlich nur, wenn du GET/POST-Variablen direkt ausführst, also durch die (auch dadurch) als unsicher geltende eval()-Funktion jagst. Oder wenn du diese Variablen innerhalb einer SQL-Abfrage benutzt und an die Datenbank schickst (Stichwort SQL-Injection).

Ersteres kannst du offensichtlich verhindern, indem du o.g. Variablen nie direkt als Code interpretierst. Ich sehe aber nur extrem selten Programme, die sowas machen müssen.

Zweiterem kannst du mit vorbeugen.


Duddle

 

[sokie]

AW: Wie sicher ist GET ?

ein Logikfehler?

[COLOR=#000000][COLOR=#0000BB] [/COLOR][COLOR=#007700]if ([/COLOR][COLOR=#0000BB]htmlspecialchars[/COLOR][COLOR=#007700]([/COLOR][COLOR=#0000BB]$_GET[/COLOR][COLOR=#007700][[/COLOR][COLOR=#DD0000]'srt'[/COLOR][COLOR=#007700]])!=[/COLOR][COLOR=#0000BB]1[/COLOR][COLOR=#007700])[/COLOR][/COLOR]

ist nur dann false, wenn der Absender Tatsächlich eine 1 per GET schickt.

 

[Dimitrj]

AW: Wie sicher ist GET ?

Danke für die Antworten!

@MyBad: Ok, ich plag mich gerade ein wenig ab mit der Forumsuche... Er will nicht nach "get" und "sicher" suchen *seufz*

@Duddle: Sorry, ist wohl ne ziemlich newbiesche Frage, aber ist es nicht möglich eine url hinter dem "?" zu maskieren und reinzupacken oderso? So in dem Stil:

if ($_GET['srt']!=1)

www.bla.com?srt=)include('www.sowieso.com/irgendwas.php');

@sokie: Danke für den Hinweis - habe noch einen ergänzenden ==1

Dimitrj

 

[FreddyX2]

AW: Wie sicher ist GET ?

@MyBad: Ok, ich plag mich gerade ein wenig ab mit der Forumsuche... Er will nicht nach "get" und "sicher" suchen *seufz*

Dann versuch es mit Google. Und zwar wie folgt:


sitesd-tutorials.de suchbegriff


Duch den Befehl "site:" wird die Suche auf der nachfolgenden Seite beschränkt. sitesd-tutorials.de beschrönkt die Suche also auf PSD-Tutorials.de
Danach die Suchbegriffe.

 

[Dimitrj]

AW: Wie sicher ist GET ?

Cool - danke für den Tip Freddy!

 

[netbandit]

AW: Wie sicher ist GET ?

Zum einen kannst Du mit zum anderen wie Du oben schon geschrieben hast mit bzw. viel entfernen/umwandeln

Um mal Dein "include" Problem mal aufzugreifen: Du könntest Verzeichnis, Dateiname und Dateiendung vorher schon im Script schon festlegen:

$verz='deinordner/';
$srt='startseite';
$endung='.php';
if(isset($_GET['srt']))$srt=strip_tags($_GET['srt']);

Dann wären da noch die Möglichkeiten zu überprüfen welche Zeichen übermittelt wurden, letztendlich aber erwartet werden; also z.B. mit einem Suchmuster vergleichen

Leg dann z.B. fest, daß zwischen $verz und $endung nur noch Zahlen, Kleinbuchstaben, Minus und Unterstrich erlaubt sind. Das Suchmuster könnte dann so aussehen:

$suchmuster="/[a-z0-9\-_]/";

Dann könntest Du die übermittelten Daten vergleichen, Beispiel mit Deinem include:

if(preg_match($suchmuster, $srt)){
include($verz . $srt . $endung);
}
else{
...
}

Könntest aber auch überprüfen ob die Datei wirklich vorhanden ist

if(file_exists($verz . $srt . $endung)){
include($verz . $srt . $endung);
}
else{
...
}

Oder vorher die zu importierenden Dateien im Script festlegen, z.B. als Array und überprüfen ob es existiert:

unset($datei);
$datei['kontakt']='kontakt.php';

 if(isset($datei[$srt])){
 include($verz . $srt . $endung);
 }
 else{
 ...
 }

Besser noch, alles irgendwie unterbringen. Mehr fällt mir da im Moment auch nicht ein :uhm:

 

[Duddle]

AW: Wie sicher ist GET ?

@Duddle: Sorry, ist wohl ne ziemlich newbiesche Frage, aber ist es nicht möglich eine url hinter dem "?" zu maskieren und reinzupacken oderso? So in dem Stil:

if ($_GET['srt']!=1)

www.bla.com?srt=)include('www.sowieso.com/irgendwas.php');

Nein, Variablen werden nicht durch den Interpreter gejagt, also in ihnen wird keine Anweisung gesucht. Ausser eben, wenn du explizit eval() benutzt, das wie o.g. gefährlich ist.


Duddle

 

[netbandit]

AW: Wie sicher ist GET ?

O.K., jetzt habe ich dann auch endlich gemerkt, dass ich ein wenig am Thema vorbei bin :rot:

 

[saila]

AW: Wie sicher ist GET ?

@netbandit,

so daneben bist du gar nicht. Ganz im Gegenteil