Sicherheit beim Upload

[Tom]

Hello,

neben einem Require/Requeire_Once() und einem Include/Include_Once() gibt es dann vielleicht mal ein Include_Filial() und ein Require_Filial(), dass über einen zusätzlichen Parameter (Array) verfügt, der die auszuschaltenden Funktionen, Klassen und Methoden enthält.

Stell dir das mal nicht so einfach vor. Die Idee könnte klappen, wenn es sich bei dem zu inkludierenden Code um sofort auszuführenden handelt. Allerdings braucht man dann eine Art Sandbox. Wenn allerdings Klassen- und Funktionsdefinitionen drin sind, die erst einmal nur gelesen werden, dann müsste sich zu diesen Klassen/Funktionen gemerkt werden, welche Klassen/Funktionen sie zur Laufzeit nicht ausführen dürfen. Und das müsste dann durchgereicht werden an alle Klassen/Funktionen, die von diesen Klassen/Funktionen aufgerufen werden. Das heißt, dass bei jedem Funktionsaufruf zumindest einmal geprüft werden muss, ob man normal arbeiten kann oder im Sperrmodus ist (und dann die Liste der gesperrten Klassen/Funktionen durchgeht). Und damit wird PHP generell langsamer, selbst wenn man das Feature nicht nutzt.

Das ist mir schon klar. Aber diese Idee hatte ich ca. 1993 schon mal, als ich noch umfangreiche dBase-Programme erstellt habe für die Variantenkalkulation. Die ist keinesfalls trivial, weil da die diversen Parameter-Ranges und auch die Produktions-Regeln wechselseitig voneinander abhängig sein können.

dBase ermöglichte es, den auszuführenden Code aus der Datenbank zu holen. Das tut PHP ja auch (->eval()). Diese Fähigkeit findet man meistens bei Interpreter-Sprachen.

Das Konzept ist solange gefährlich, wie die aufrufende Instanz nicht wirklich die kontrollierende ist. In einer Interprreter-Sprache ist dies ja meistens das übergeordnete Runtime-Modul.

Bei Compiler-Sprachen hat man aber noch schlimmere Probleme. Einem JIT-Compiler alternativ diverse Kombinationen des Prozessor-Codes zu verbieten, ist fast unmöglich. Da hat man eine Ebene höher bei den Interpreter-Sprachen schon bessere Chancen. Denn da kann man einfach die (fertigen) Funktionen verbieten...

Ich denke aber, dass man bei PHP in der prozeduralen Ebene schon relativ leicht eine solche hierarchische Kontrolle einführen könnte.

OOP in einer Interpretersprache (ausgenommen die intern benutzte) halte ich ja sowieso für fragwürdig - aber das wisst Ihr ja schon alle :-)

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg