Problema de seguridad

[biffly]

Hola, tengo un sitio done el index carga el resto de los archivos segun se le solicite

Código PHP:

  <?
$sec =  $_REQUEST['sec'];
if  ($sec=="") {
$sec="main.php";
}
?>

<?  include($sec);?>   

mi problema es que con este metodo es posible cargar archivos externos al sitio, es decir se puede cargar un archivo con comando en PHP dañino.

El tema puntual de mi consulta es saber si existe alguna forma en la que pueda comprobar si el archivo que se pasa en la variable $sec esta dentro del dominio o es un archivo externo.

Desde ya muchas gracias

[GatorV]

En lugar de eso podrias hacer algo asi:

Código PHP:

  <?php
$default = "main.php";
$sec = $_REQUEST['sec'];

switch( $sec ) {
case "home":
      $file = "main.php";
      break;
case "contacto":
      $file = "contacto.php";
      break;
}
?>
contenido
<?php
include( $file );
?>   

[biffly]

Gracias GatorV, eso lo se, pero tambien requeriria realizar grandes cambios al sitio y modificar todos los links, lo que estoy buscado es algo que detecte que el archivo es uno externo al dominio.

Saludos

[GatorV]

Si todos tus archivos los tienes en un directorio puedes usar:

Código PHP:

  $realSec = getcwd() . '/' . $sec;
if( file_exists( $realSec ) ) {
    include( $realSec );
} else {
    echo "Error archivo no permitido!";
} 
   

Ese codigo lo que hace es verificar que el archivo este en la carpeta actual.

Saludos.

[Anarko]

Los archivos deben estar DEFINIDOS.

De lo contrario en una par de semanas la web va a l piso.

[biffly]

gracias GatorV, probe tu ultima sugerencia y funciono perfecto. AnarKo a que te referis con DEFINIDOS?

Muchas Gracias :)