SQL-Injektionen, CrossSite Scripting, Affenformular u. Usability

[dedlfix]

echo $begrüßung;

Ich habe es über eine php.ini in dem Verzeichnis, von dem ich das eingabe Formular aufrufe, gelöst.
Ich glaub nicht, das mein Webhoster das dort entfernen würde, 1und1, reicht
das, wenn ich es nur über das Verzeichnis, in dem das Formular liegt regel oder muss es Global geschehen?

Bei 1&1 ist es so, dass in dem Verzeichnis, aus dem ein PHP-Script gestartet wird, eine dort liegende php.ini die globale 1&1-php.ini komplett außer Kraft setzt. Es ist empfehlenswert, vor dem Anlegen einer eigenen php.ini via phpinfo() die von 1&1 gesetzten Werte auszulesen und dann zu schauen, welche sich nach dem Anlegen der eigenen php.ini geändert haben - sprich: wieder auf PHP-Default-Werten statt auf 1&1-Default-Werten stehen - und diese ebenfalls in der eigenen php.ini nachzuziehen (inklusive der Konfigurationswerte der (von einem selbst verwendeten) Extensions). Noch besser ist es, sich alle Werte anzuschauen und selbst zu entscheiden, wie er gesetzt werden soll. Das setzt natürlich einiges an Erfahrung bzw. Recherche nach dem Für und Wider der verschiedenen Einstellmöglichkeiten voraus.

Du musst in jedem Verzeichnis, in dem ein Script gestartet werden soll, so eine php.ini anlegen, alternativ einen Symlink auf eine php.ini eines anderen Verzeichnisses. Es gilt jeweils nur die php.ini des Script-Startverzeichnisses. Include-Dateien aus anderen Verzeichnisses werden ja im Kontext des Hauptscripts ausgeführt. Es ist also nicht so, dass für jede Include-Datei eine andere php.ini gilt (es sei denn natürlich, man ruft sie als eigenständiges Script auf). Für reine Include-Verzeichnisse ist es sowieso empfehlenswert, sie außerhalb des DocumentRoot abzulegen.

/kunden/engin <- nennen wir es mal KundenRoot.
/kunden/engin/nimmet <- DocumentRoot der Domain nimmet.example.org
/kunden/engin/gyro <- DocumentRoot der Domain gyro.example.com
/kunden/engin/includes <- ohne Domain. Inhalte übers Web nicht direkt erreichbar.

Das Script /kunden/engin/nimmet/index.php, aufgerufen von nimmet.example.org/index.php inkludiert seine Dateien dann via include '../includes/datei.ext';

Wenn man gerade Kunde geworden ist, zeigen die dabei miterworbenen Domains (inklusive der s_zahlenhaufen.kundenserver.de) alle ins KundenRoot, so dass die gesamte Unterverzeichnisstruktur darüber auslesbar ist. Das sollte man erstmal zugunsten einer Struktur, ähnlich der oben erwähnten, ändern.

echo "$verabschiedung $name";