Sicherheitsrisiko mit GET, POST, etc.

[milky]

Hey,

Des öfteren habe ich gehört (bzw. gelesen), dass importierte
Parameter mit GET oder POST ein Sicherheitsrisiko darstellen. Kann

Ganz einfach: man kann so Variablen-Werte überschreiben. Beispiel:

Das Problem tritt nur in Verbindung mit alten PHP-Versionen auf, oder
wenn sich ein Provider an die veralteten Einstellungen klammert, um
seine Seite am Laufen zu halten (und die einiger besonders träger
Kunden).  phpinfo() gibt Auskunft, ob das Problem wirklich auftritt -
die entsprechende Einstellung nennt sich "register_globals" (und sollte
heutzutage auf "off" stehen).

Diese "injizierten Werte" lassen sich aber einfach ausschalten, indem
du einfach folgendes an den Anfang aller Skripte schreibst:

<?php
   $GLOBALS = array();

Noch besser wäre es allerdings "php_option register_globals off" in
der .htaccess zu notieren.

MsF,
milky