Re: [php] eval ohne Sicherheitlücken

[Norbert Pfeiffer]

Hi Bastian,

zuerst sollte man immer versuchen, den User von jeglichen
Handeingaben zu befreien, weil er sich sowieso nur vertippt.
Lass ihn seine Eingaben ueber DropDowns zusammen stellen ...

> $ausdruck="echo $geheinmesdatenbankpasswort";
Tip:
Wenn man den Befehlsstring einer Funktion zum Ausfuehren
uebergibt, kann der User zumindestens keine Variablen des
Haupt-Scriptes ueberschreiben oder auslesen.
Der Namensraum einer Funktion ist in sich geschlossen ...

> $ausdruck="include 'hackerscript.php';"
Tip:
wenn include('boesesScript.php'); funktioniert, hat der
Angreifer schon mal einen FTP-Zugang auf Deinem Host
und braucht also keine "Hilfe" mehr ... ;-)

> $ausdruck="mysql_query('DROP something FROM tabelle');"
Tja:
Unsere lieben SQL-Befehle machen es Angreifern sehr leicht,
denn selbst wenn es kein Connect gibt, versucht PHP mit
den vermeintlich 'ueblichen' Daten auf die DB zuzugreifen.


m. b. G. Norbert
_____________________
normal:  02686-987103
Notruf:  0177-2363368
---------------------
e.o.m.