[Système] include de pseudo frame

Version imprimable

28/11/2006, 07h39
rougedragon

[Système] include de pseudo frame

Bonjour,
Dans un post précédent on me dit de ne pas afficher mes pages avec le script suivant

Code:

include $page.php

(j'ai fais simple) ;) . La justification est qu'il ne faut pas mettre de variable avec un include.

Comment gérer les pseudo-frames autrement ??? 8O

Merci
28/11/2006, 09h36
Halukard

il faut que tu concatene ton extension avec ta variable si $page contient juste accueil par exemple

Code:

include $page.'.php'

comme ca tu "colle" accueil a .php ce qui lui permet de trouver ton fichier et de l'inclure correctement.
28/11/2006, 14h44
Eusebius

Je pense que si on t'a dit ça, c'est pour éviter que tu fasses l'include d'un fichier non prévu pour ça (inclusion de code source arbitraire).
La variable $page vient d'un formulaire, ou d'une entrée utilisateur, enfin de l'extérieur de ton script, c'est ça ? Dans ce cas il faut vérifier qu'elle a bien une des valeurs attendue, et si ce n'est pas le cas tu renvoies une erreur. Mais ne fais jamais un include directement avec un nom de fichier qui vient d'on ne sait pas où.
[EDIT : c'est en gros ce que fait segfault en-dessous]

Désolé si jamais j'ai répondu à côté
28/11/2006, 15h24
SegmentationFault
le fait d'ajouter .php à ta variable est déja pas mal, mais tu peux faire mieux genre:
Code:

1 2 3 4 5 6 7 8 9 10 11 12 switch($page) { case "home": $page = 'home.html'; break; case "toto": $page = 'titi.php'; break; default: $page = 'home.html'; break; }
bein dans default, soit tu redirige vers une page precise soit tu affiche un truc genre "c'est raté, réessaye autre chose"

EDIT: un conseil de ma part, redirige plutot vers une page, car si tu lui affiches un message enervant et il se trouve que cette personne est douée, tu peux dire bye bye à ton site
28/11/2006, 20h50
rougedragon
j'appelle mes pages bêtement par: <a ... tete.php?link=specialteam...

je pensais être couvert par ça en fait:
Code:

1 2 3 4 5 6 7 8 9 10 11 12 <?php $filename = "./$link.include.php"; if(file_exists($filename)) { include($filename); } else { echo 'VOUS NE POUVEZ PAS AFFICHER CETTE PAGE'; } ?>
sachant que pour brouiller un peu , je peux mettre tarte à la place de inc.
Qu'en pensez vous ??
(ce que propose Halukard en fait- j'avais pas lu)
28/11/2006, 21h00
sahid

Salut,

imagine je fais entrer dans ta variable $link

"http://monserveur/hack"
(sachant que j'ai un fichier qui se nomme hack.include.php)

on appelle cela des attaques XSS,

tu devrais faire attention avec ça ...
élabore toi un front-controller plus performant, c'est la dessus que repose ton appli.
28/11/2006, 21h11
rougedragon

J'ai déjà eu cette réponse. Mais je peux très bien mettre

Code:

$page.cryptage md5.php

Je me dis que si le mec devine l'extension utilisée, j'ai d'autre soucis à me faire. 8O

Je vais me renseigner plus sur les attaques XSS. ( je suis pointilleux dans la réponse cherchée mais pas borné).
28/11/2006, 21h12
fallais

Un simple switch fait l'affaire question securité 8O
Ou sinon la methode du fil_exist (la mienne :P )
Voila :D
28/11/2006, 21h24
Eusebius

Citation:

Envoyé par Elwyn

Un simple switch fait l'affaire question securité 8O
Ou sinon la methode du fil_exist (la mienne :P )
Voila :D

Le switch est une NECESSITE (mise en place d'une liste blanche).
Le file_exists ne suffit pas. Imagine, je te fais ouvrir un fichier sur mon serveur, qui génère du php (genre du code sympa, avec des "exec" de "rm *" par exemple... Non, il ne faut pas se dire que la config de ton serveur va l'empêcher : il y a une infinité d'attaques possibles si on peut faire exécuter du code arbitraire), eh bien le file_exists, il va te dire "oui oui, le fichier existe bien", et puis tu vas l'inclure gentiment... et mon code, il va te vider le disque dur de ton ordinateur, si t'as pas fait gaffe...

sahid : Non c'est pas du XSS, c'est de l'injection de code.

rougedragon : le fait de supposer que l'attaquant ignore les extensions ou les modifs que l'on va faire sur le nom est une MAUVAISE METHODE. D'une manière générale il est dangereux de considérer que l'attaquant manque d'information ou est stupide.
28/11/2006, 21h28
rougedragon

Merci pour vos réponses.

ça m'aide beaucoup.

A+
29/11/2006, 11h59
sahid

Citation:

Envoyé par rougedragon

J'ai déjà eu cette réponse. Mais je peux très bien mettre

Code:

$page.cryptage md5.php

Je me dis que si le mec devine l'extension utilisée, j'ai d'autre soucis à me faire. 8O

Je vais me renseigner plus sur les attaques XSS. ( je suis pointilleux dans la réponse cherchée mais pas borné).

oui oui, m'enfin ...
$link = 'http://monsite/hack.php");'

Eusebius : de l'injection de code c'est de XSS...

ensuite le switch n'est pas une néccesité, tu peux tres bien utiliser les interfaces. ...basé toute ton application sur un switch c quand meme limité question evolution, et asser lourd.
29/11/2006, 13h09
Eusebius

Citation:

Envoyé par sahid

Eusebius : de l'injection de code c'est de XSS...

Non, mais passons.

Citation:

Envoyé par sahid

ensuite le switch n'est pas une néccesité

C'est vrai. Je parlais du choix entre le switch et le file_exists. On peut faire sans switch si on a un autre mécanisme de type liste blanche.
29/11/2006, 14h29
fallais
Citation:

Envoyé par Eusebius

Le file_exists ne suffit pas. Imagine, je te fais ouvrir un fichier sur mon serveur, qui génère du php (genre du code sympa, avec des "exec" de "rm *" par exemple...

Faux !
Code:

1 2 3 4 5 6 7 8 $page = $_GET['page']; if(file_exists($page)){ include($page.'.php'); } else{ echo'Erreur'; }
dis moi comment executer tes fichier exe et tout le reste stp :)
29/11/2006, 14h31
Eusebius

Citation:

Envoyé par Elwyn

dis moi comment executer tes fichier exe et tout le reste stp :)

Je me trompe peut-être, mais je vois pas en quoi ce que tu fais te protège contre un include distant.

Code:

1
2
3
4
5
6
7
8
9
$page ='Prefixe_'.$_GET['page'];
 
if(file_exists($page)){
include($page.'.php');
}
else{
$page = 'Accueil'
include($page.'.php');
}

un truc de ce genre aussi c est sympa ....

29/11/2006, 14h51
fallais

Citation:

Envoyé par Eusebius

Je me trompe peut-être, mais je vois pas en quoi ce que tu fais te protège contre un include distant.

Trouve moi un exemple d'include distant :)
29/11/2006, 15h16
Eusebius

Citation:

Envoyé par Elwyn

Trouve moi un exemple d'include distant :)

Si allow_url_fopen est activé, on peut en faire, des includes distants.
30/11/2006, 19h22
fallais

Avec mon script tu ne pourras ouvrir que les pages presentes dans l'arborescence :)
Et je ne parle pas d'execution mais d'insertion :)
30/11/2006, 22h21
Eusebius

Citation:

Envoyé par Elwyn

Avec mon script tu ne pourras ouvrir que les pages presentes dans l'arborescence :)

Ah j'avais pas vu le préfixe. Oui, tu donnes le moyen de parcourir librement toute ton arborescence. Ca reste une faille.

Et c'est pas le file_exists qui augmente le niveau de sécurité, c'est le préfixe. :aie:
J'ai raison, donc j'ai raison :aie:
30/11/2006, 23h39
sahid

par contre dans l'etat actuelle de ton script, il me semble que dans tout les cas, ton file_existe te retourne false ...

m'enfin je peux me trompé
01/12/2006, 06h48
Eusebius

Citation:

Envoyé par sahid

par contre dans l'etat actuelle de ton script, il me semble que dans tout les cas, ton file_existe te retourne false ...

m'enfin je peux me trompé

Ah oui tiens, il devrait falloir rajouter l'extension.
01/12/2006, 18h18
fallais

Citation:

Envoyé par Eusebius

Oui, tu donnes le moyen de parcourir librement toute ton arborescence. Ca reste une faille.

Faux :)

Pour le script je l'ai fais en 30sec montre en main dsl :lol: :lol:
01/12/2006, 18h27
Eusebius

Citation:

Envoyé par Elwyn

Faux :)

Disons que c'est un risque : on peut te faire inclure tous les fichiers accessibles par include, et la sécurité réside dans 1) le reste du code du script, et 2) la faible probabilité de trouver un fichier avec du code qui fasse quelque chose.

Non ?
01/12/2006, 18h40
fallais

Code:

$page.'.php';

comment veux tu inclure quelque chose d'autre ? 8O
01/12/2006, 18h44
Eusebius

Citation:

Envoyé par Elwyn

Code:

$page.'.php';

comment veux tu inclure quelque chose d'autre ? 8O

Oui il faut que ça soit des fichiers avec l'extension php
(au fur et à mesure je reviens sur ce que je dis, mais je suis sûr qu'il restera quelque chose de vrai, chuis trop têtu pour ça :aie: )

Enfin bref l'idée c'est que si on vérifie pas au départ que $page est bien une des valeurs prévues (avec une liste blanche, des regex...), on laisse la possibilité, suivant les cas, d'inclure un fichier distant (si on spécifie pas de préfixe comme tu as fait), de remonter dans l'arborescence des fichiers (toujours possible dans ton cas), et de manière générale d'inclure un fichier non prévu pour ça.

Alors que si on le fait, on sait qu'on va explicitement inclure un fichier prévu pour ça.
Ca me paraît tellement simple que je vois pas pourquoi on se casserait la tête à faire des usines à gaz pour faire autre chose :aie:
01/12/2006, 18h47
Eusebius

Après vérification, sur certaines plates-formes on pourrait passer un caractère NULL dans $page pour ouvrir un fichier avec une autre extension et ignorer ton extension .php

J'ai jamais testé ce genre de chose... Faudra que j'essaie...
04/12/2006, 09h29
RideKick

Citation:

Envoyé par Eusebius

Ah j'avais pas vu le préfixe. Oui, tu donnes le moyen de parcourir librement toute ton arborescence. Ca reste une faille.

Et c'est pas le file_exists qui augmente le niveau de sécurité, c'est le préfixe. :aie:
J'ai raison, donc j'ai raison :aie:

Euh .... juste pour dire que l'idee du prefixe vient de moi .....lol
Effectivement sans le prefixe il y a un plus gros risque ....