&sicherheit

[Ashura]

Hallo Dennis.

Dann ließen sich aber immer noch Dateien einbinden, die für so etwas eigentlich gar nicht gedacht waren.

Bei folgendem Konstrukt?

if(file_exists($_SERVER["DOCUMENT_ROOT"]."/includes/".$_GET['site'].".php")  
{  
  // ...  
}

Eventuell könnte man hier auch wieder „auf die Fresse fliegen”, false file_exists bei allow_url_fopen true zurückgibt, wenn die Ressource auf einem anderen Server existiert. Müsste man mal ausprobieren.

Soviel konnte ich bisher nicht testen. Falls obiges Konstrukt aber lückenhaft ist, bin ich für Verbesserungsvorschläge gerne offen.

Gruß, Ashura