Re: [php] (OT) php Anwendung auf Sicherheit prüfen

[Sebastian Mendel]

Christian Thiele wrote:
> Hallo,
> 
> Mark-Walter at t-online.de schrieb:
> 
> 
>>>Das Problem entsteht aber nicht weil $log_auto = 1 gesetzt wird, sondern
>>>hier ohne vorher stattgefundene Parametrisierung Zutritt zum geschützten
>>>Bereich gewaehrt:
> 
> 
> Jein, das Problem ist eher
> 
> if (isset($USER) == "developer" && isset($PASS) == "x$3&h/§G")

genau

if (isset($USER) == "developer" && isset($PASS) == "x$3&h/§G")
Auswertung =
if ( true == "developer" && true == "x$3&h/§G")
Typenkonvertierung da kein '===' sondern nur '==' =
if ( true == (bool) "developer" && true == (bool) "x$3&h/§G")
Auswertung =
if ( true == true && true == true )
also
if ( true )

> 
> Das liefert immer true und man ist authentifiziert, braucht also das
> log_auth in der URL
> gar nicht setzen ;-)
> 
> register_globals sollten natürlich aus sein, das ist (eigentlich) klar.
> 
> --Christian
> 


-- 
Sebastian Mendel

www.sebastianmendel.de www.warzonez.de www.tekkno4u.de www.nofetish.com
www.sf.net/projects/phpdatetime        www.sf.net/projects/phptimesheet