file_exists Problem

[Andavos]

Hallo,
ich habe ein Gästebuch, und dort kann man im Adminbereich einen URL zu einer Datei angeben, die dann Später im Gästebuch eingebunden wird.

Wenn man jetzt diese Feld leer lässt, erhalte ich folgende Meldung:

Warning: file_exists() [function.file-exists]: Unable to access in /home/www/htdocs/rpgcommunity.de/clanwissen/clanbook/index.php on line 55

Der Script sieht so aus:

<?php
$includeoben2 = $de_row->includeoben2;
if(file_exists($includeoben2))
   {
   include("$includeoben2");
   }
?>

Das Problem ist aber nur auf meinem Server, nicht auf meinen PC.

MFG
Andavos

[Tobias Kloth]

Hallo Andavos,

ich habe ein Gästebuch, und dort kann man im Adminbereich einen URL zu einer Datei angeben, die dann Später im Gästebuch eingebunden wird.

ich hoffe du willst den User nicht die Möglichkeit geben, eine Datei per include einzubinden - damit schaffst du dir nämlich ein riesiges Sicherheitsloch.

Wenn man jetzt diese Feld leer lässt, erhalte ich folgende Meldung:

dann prüf doch einfach vorher, ob das Feld ausgefüllt ist...

Grüße aus Nürnberg
Tobias

[Andavos]

Hallo,
doch ich geb ihm die möglichkeit.

Denn er lädt sich das Gästebuch runter, installiert das dann auf dem eigenem Server und kann dann dort machen was er möchte.

Ich seh da kein riesen Sicherheitsloch drin.

Ja, so hab ich es erstmal gelöst, aber weiß jemand warum das so ist?

MFG
Andavos

[Tobias Kloth]

Hallo Andavos,

Denn er lädt sich das Gästebuch runter, installiert das dann auf dem eigenem Server und kann dann dort machen was er möchte.

kann der dem das Gästebuch gehört eine Datei die einzubinden ist angeben, oder der der was in das Gästebuch schreibt?

Ich seh da kein riesen Sicherheitsloch drin.

aber ich - was ist denn, wenn einer daherkommt und mal eben sämtliche Dateien deines Webspaces löscht, die Datenbank plattmacht oder ähnliche Scherze... (es gab mal einen Thread zu dem Thema, ich find in nur gerade nicht)

Ja, so hab ich es erstmal gelöst, aber weiß jemand warum das so ist?

was hast du wie gelöst - was hälst du von Zitieren, damit derjenige der dir antwortet auch weiß, von was du redest? Ich tippe mal darauf, dass du das was du file_exists() übergibst vorer mit emtpy() überprüfst - warum du nur teilweise eine Fehlermeldung bekommst, weiß ich aber nicht.

Grüße aus Nürnberg
Tobias

[Andavos]

Hallo,
ne, nur der Admin kann dort eine Datei einbinden.

Aber geht das wirklich?
Ich mein, wenn jemand in Adminmenü kommt, könnte er dann dort alle Dateien löschen?

Ne ich mach da nichts mit Empty.

Er gibt eine URL an, drückt auf Absenden und die URL wird dann in der DB abgespeichert.

Dann farge ich später die DB so ab:

<?php
$includeoben1 = "$de_row->includeoben1";
if($includeoben1!="")
{
if(file_exists($includeoben1))
   {
   include("$includeoben1");
   }
}
?>

MFG
Andavos

[Tobias Kloth]

Hallo Andavos,

ne, nur der Admin kann dort eine Datei einbinden.

na dann, ist es ja halb so wild.

Ich mein, wenn jemand in Adminmenü kommt, könnte er dann dort alle Dateien löschen?

wenn einer in das Adminmenü kommt, und dort angeben kann, welche Datei eingebunden werden kann, dann kann er u.U. alle Dateien löschen, ja.

Ne ich mach da nichts mit Empty.

*grmpf* http://learn.to/quote

if($includeoben1!="")

warum nicht if(emtpy($includeoben))?

Grüße aus Nürnberg
Tobias

[Andavos]

Hallo,

Ich mein, wenn jemand in Adminmenü kommt, könnte er dann dort alle Dateien löschen?

|wenn einer in das Adminmenü kommt, und dort angeben kann, welche Datei eingebunden werden kann, dann kann er u.U. alle Dateien löschen, ja.

Und wie geht sowas? Ich kann mir das irgendwie nicht vorstellen. Und gibt es einen schutz davor?

if($includeoben1!="")
warum nicht if(emtpy($includeoben))?

Ich habs so gerlernt ;)

MFG
Andavos

[Tobias Kloth]

Hallo Andavos,

Ich mein, wenn jemand in Adminmenü kommt, könnte er dann dort alle Dateien löschen?
wenn einer in das Adminmenü kommt, und dort angeben kann, welche Datei eingebunden werden kann, dann kann er u.U. alle Dateien löschen, ja.
Und wie geht sowas? Ich kann mir das irgendwie nicht vorstellen.

wenn man als Pfad auf die einzubindende Datei eine ganze url angibt (also z.B. http://www.example.com/boessesscript.txt) wird diese Datei (je nach Einstellung von allow_url_fopen) eingebunden, und wenn diese Datei den Code zum löschen von Dateien oder zum ändern der Datenbank enthält, wird das auch gemacht.

Und gibt es einen schutz davor?

schreib den Dateinamen doch einfach direkt in die php-Datei (so dass der Dateiname/-pfad nur in der Datei geändert werden kann, und nicht über ein Formular) - aber für was soll die Datei überhaupt gut sein?

Grüße aus Nürnberg
Tobias

ps: Danke fürs Zitieren :-)

[Andavos]

Hallo,
|aber für was soll die Datei überhaupt gut sein?
wenn der User sein Gästebuch dem Design der Site anpassen möchte, so kann er ja einfach eine Extrerne Datei oberhalb und unterhalb des GB's einbinden.

Er möchte z.B. das Gästebuch so haben:

// Menü

// Gästebuch

// News

Dann includet er einfach Menü und News, und wenn er das dann die beiden Dateien ändern, so verändert sich das Gästebuch auch.

MFG
Andavos

[wahsaga]

hi,

Wenn man jetzt diese Feld leer lässt, erhalte ich folgende Meldung:
Warning: file_exists() [function.file-exists]: Unable to access in /home/www/htdocs/rpgcommunity.de/clanwissen/clanbook/index.php on line 55

"gibt es hier jemanden der peter heisst?" liesse sich sicher einfach mit ja oder nein beantworten.

du reisst aber die tür auf und fragst in den raum, "gibt es hier jemanden der heisst?" - darauf erwartest du doch sicher keine sinnvolle antwort?

Das Problem ist aber nur auf meinem Server, nicht auf meinen PC.

dann solltest du dein php zu hause mal so konfigurieren, dass es dir auch die warnings anzeigt: http://de.php.net/manual/de/ref.errorfunc.php.

gruss,
wahsaga

[Andavos]

Hallo,

Das Problem ist aber nur auf meinem Server, nicht auf meinen PC.
dann solltest du dein php zu hause mal so konfigurieren, dass es dir auch die warnings anzeigt: http://de.php.net/manual/de/ref.errorfunc.php.

Er zeigt ja warnings. an.

Wenn ich:
<?php
echo "moin"  //Kein ;
?>

schreibe, erhalte ich ein Warning, allerdings ist das auf meinen Server anders.
Muss ich da ein bestimmten Warning bereich aktivieren?

MFG
Andavos