nicht angemeldet
Hi
Das will ich gerade noch ersetzen. Und außerdem sollte man der Funktion dann auch noch einen Parameter übergeben könne, um jede beliebige EXTERNE Seite lesen zu können. Die Internen sollte man tunlichst unterbinden. Sonst hat man eine schöne Sicherheitslücke.
Warum? Solange man die Dateien nur Lesen kann, kann doch nichts passieren. Es sei denn, du machst in deinem Script Dummheiten...
Habe ich da eben verkehrt gedacht? wenn ich getpage.php?page=/etc/... schreibe, dann könntest Du Dir damit jede Datei auf dem Server anzeigen lassen, auf die das Script Zugriff hat. Das muss man unterbinden. Oder?
Nö, ich greife immer über "http://".$_GET['page'] zu. Da kommt der arme Parameter an keine Systemdaten ran. Und selbst wenn: Auf /etc/, /lib/, /bin/ etc. hat das Script (bei mir) eh keine Rechte, was soll also passieren?
Fabian