Proxounet a écrit :
Code :
- <?php
- $db = mysql_connect('localhost', 'henol_henol', 'a27dec88mysql');
- mysql_select_db('henol_genealogie',$db);
- if ( empty($_GET['page']) )
- {
- $page = 'accueil';
- }
- else
- {
- $page = htmlentities($_GET['page']);
- }
- require 'pages/pre-'.$page.'.php';
- ?>
- [...]
|
|
GET /?page=/../../../../etc/passwd HTTP/1.1 |
:)
Enfin s'dépend de la configuration du serveur, mais il peut y avoir des fichiers intéressants sur ton site, et puis c'est jamais bon de laisser ce genre de trucs.
htmlentities(), c'est pour inclure dans du code HTML, pas dans un chemin de fichier.
Pour les chemins, faut utiliser realpath() sur le chemin du fichier que tu veux utiliser, vérifier que realpath() te renvoit pas false (fichier inexistant -sauf sur xBSD, où, d'après le mode d'emploi de PHP, realpath ne renvoit pas false, si le répertoire du fichier existe), puis vérifier que le chemin renvoyé par realpath (qui est nettoyé des liens symboliques, et des "/../" ), mène bien au répertoire que tu veux (compare le début du chemin renvoyé par realpath, avec le chemin de ton répertoire, en oubliant pas de mettre un '/' à la fin des deux chaînes, si jamais t'as plusieurs répertoires avec le même début de nom, pour être sûr que seul le répertoire que tu veux, seras accepté).
Ton code est aussi vulnérable, si register_globals est activé sur le serveur Web que t'utilises (ce qui est souvent le cas, chez les hébergeur mutualisés, pour éviter les problèmes de compatibilité), si tu vérifies pas que t'inclus le bon fichier (qui va définir $titre).
Par exemple, on peut include ton fichier "/.htaccess" (ou n'importe quel fichier qui existera très vraisemblablement, genre "/robots.txt" ou "/favicon.ico" ). Vu qu'il ne définit pas $titre, on peut le définir depuis l'URL, et il sera utilisé dans ta page comme ça.
GET /?page=/../.htaccess&titre=</title><script>alert('Foo!'); HTTP/1.1 |
Le solution rapide, c'est d'initialiser toutes les variables que tu va utiliser directement. Dans ton cas, avant d'inclure ton pre-foo.php, rajoute un $titre = '';. Au cas où, il est aussi important d'utiliser htmlentities() à chaque fois que tu veux utiliser ta variable (pour être sûr de n'avoir rien oublié), quand elle n'est pas censée contenir de code HTML. Dans ton cas: <?php echo htmlentities($titre) ?>
(Et en passant, oublie pas que si t'utilises UTF-8, par exemple, faut rajouter le charset quand t'appelles htmlentities(), pour pas avoir de problèmes d'encodage... Regarde le mode d'emploi de cette fonctions, pour plus de détails).
Le lien vers ton archive rar ne marche plus, donc je sais pas si tu fais davantage de vérifications, dans cette autre version.
En général, si t'as qu'un nombre limité de pages, le plus simple est d'utiliser un switch(), et d'hardcoder les noms de pages. Au moins t'es sûr qu'on pourra pas inclure autre chose (ce qui ne veut pas dire que tu puisses ignorer les problèmes avec register_globals et htmlentities() parce que tu peux toujours oublier autre chose, un jour...).
[Edit: Ah, et puis t'es pas obligé d'utiliser ?page=Foo... Tu peux utiliser directement le chemin $_SERVER['REDIRECT_URL']. Dans ton "/.htaccess", rewrite simplement toutes les requêtes vers ton script PHP, sauf celles qui ne doivent pas passer par ce script ("/robots.txt", "/favicon.ico", tes images, tes feuilles de style, etc.).]
[Edit2:
Quelques détails, suite à ton message privé:
Pour ton site, le plus important à modifier, si tu veux enlever le "?page=" de tes URLs, ça sera les liens que t'as déjà crée... enfin si tu veux juste supprimer le "?page=", y'a des outils pour modifier les fichiers automatiquements, surtout si t'es sous Linux.
En interne, tu peux reprendre l'exact même système que t'as actuellement (en vérifiant mieux la sécurité, bien entendu, comme dit dans mon message).
Genre, dans ton .htaccess:
RewriteEngine on
RewriteCond %{REQUEST_URI} !^css/
RewriteCond %{REQUEST_URI} !^js/
RewriteRule ^.*$ /index.php?page=$0 [qsappend]
|
Ça va rediriger, par exemple "/présentation" vers "/index.php?page=présentation" (en interne, donc l'utilisateur verra que "/présentation", mais ton script PHP verra "/index.php?page=présentation" et pourra utiliser $_GET['page'], pour récupérer le nom de la page).
Le flag "qsappend" permet d'ajouter les arguments existants de l'URL, lors de la redirection (y compris "page", dans ton cas, si un utilisateur rajoute "?page=foo", donc il pourra y avoir deux fois "page" dans la query string... et PHP prendra en compte que le dernier, donc celui rajouté par l'utilisateur, plutôt que celui de ta redirection interne... enfin bon, l'utilisateur est pas censé faire ça, donc tu peux ignorer -enfin ça peut être un risque de phishing ou au moins de confusion, si quelqu'un s'amuse avec ça). Genre si l'utilisateur demande "/présentation?lang=en", ton script PHP recevra "/index.php?page=présentation&lang=en" (enfin c'est juste un exemple... s'pas bon de changer la langue comme ça, en guardant un nom de page en français :p).
Tu peux supprimer le flag, si t'utilises pas d'autres arguments, mais si tu le connais pas, ne l'oublies pas, au cas où tu t'en ais besoin un jour (enfin si t'as peu d'arguments, tu peux aussi les récupérer avec un RewriteCond sur QUERY_STRING... tout ça, c'est dans la doc de mod_rewrite).
]
Message édité par Ekuryua le 19-03-2008 à 15:30:20
