Home | Registrieren | Einloggen | Suchen | Aktuelles


Forum » PHP & MySQL » include navigation unsicher - bitte um hilfe Antworten
include navigation unsicher - bitte um hilfe

humbidum
Pixelschubser


Beiträge: 2


hallo erstmal,

für eine webseite wollte ich folgenden php navigation verwenden

1: 
2: 
3: 
4: 
5: 
6: 
7: 
8: 
9: 
10: 
11: 
12: 
13: 
14: 
15: 
16: 
17: 
18: 
19: 
20: 
21:
<?php
if(!empty($_GET))
{
 switch($_GET['seite'])
	 {
case "start": include("start.php"); break;
case "leitbild": include("leitbild.php"); break;
case "kontakt": include("kontakt.php"); break;
case "service": include("service.php"); break;
case "referenzen": include("referenzen.php"); break;
case "wunschbad": include("wunschbad.php"); break;
case "rundgang": include("rundgang.php"); break;

	}

} 	
else
	{
	include("start.php");
	}
?>


nun wurde mir mittgeteilt da das wohl sehr unsicher ist. deshalb hab ich erstmal nachgelesen was schon so dazu im entz steht habe aber nix richtiges gefunden. es war immer die rede von irgend welchen wirren filtern pder ganz verrückten aktionen mit irgendwelchem erstzen. aber alles dinge die wo mir völllig unklar ist wie ich es für die anvigation mit mehr als einem link umsetzen kann..

vielleicht könntet ihr mir dabei helfen.

vielen dank im voraus

  Profil   Editieren   Zitieren

languitar
Foren-Team


Beiträge: 2795


Also so unsicher ist das erst mal gar nicht, da du ja im Grunde eine sehr genau Überprüfung der GET-Variable hast. Du lässt nur ganz bestimmt Begriffe zu. Schlimm wäre z.B. einfach sowas: include GET['seite']; Das würde ja völlig ungeprüft aufgerufen werden. Noch schlimmer wäre so etwas in einem MySQL-Query.

---
Take a look here!
Lichtblick - Einblick - Ausblick

  Profil   E-Mail   Website   Editieren   Zitieren

humbidum
Pixelschubser


Beiträge: 2


hm tatsache ist aber das eine seite auf der eine derartige anweisung steht gehackt wurde und es keinerlei erklärung gibt wie die da drauf gekommen sind. dsa ftp passwort wurde dabei auch geändert.. geht das durch include?! .. leider ist diese PHP anweisung bisher unser einziger anhaltspunkt auf eine sicherheitslücke

  Profil   Editieren   Zitieren

languitar
Foren-Team


Beiträge: 2795


FTP-Passwort durch PHP ändern wäre mir neu. Wäre meiner Meinung nach auf jeden Fall eine Schwachstelle in der Serverkonfiguration. Da würd ich eher denken, dass die über das Backend rangekommen sind.

---
Take a look here!
Lichtblick - Einblick - Ausblick

  Profil   E-Mail   Website   Editieren   Zitieren
 

Antworten
Nach oben