[HaBo]

jesus · 11.05.07, 20:00

Hallo.

In der common.php von phpbb 2.0.22
ist ein Schutz gegen Parameter-Tricks

PHP-Code:

  if (@ini_get('register_globals') == '1' || strtolower(@ini_get('register_globals')) == 'on')
{
    // PHP4+ path
    $not_unset = array('HTTP_GET_VARS', 'HTTP_POST_VARS', 'HTTP_COOKIE_VARS', 'HTTP_SERVER_VARS', 'HTTP_SESSION_VARS', 'HTTP_ENV_VARS', 'HTTP_POST_FILES', 'phpEx', 'phpbb_root_path');

    // Not only will array_merge give a warning if a parameter
    // is not an array, it will actually fail. So we check if
    // HTTP_SESSION_VARS has been initialised.
    if (!isset($HTTP_SESSION_VARS) || !is_array($HTTP_SESSION_VARS))
    {
        $HTTP_SESSION_VARS = array();
    }

    // Merge all into one extremely huge array; unset
    // this later
    $input = array_merge($HTTP_GET_VARS, $HTTP_POST_VARS, $HTTP_COOKIE_VARS, $HTTP_SERVER_VARS, $HTTP_SESSION_VARS, $HTTP_ENV_VARS, $HTTP_POST_FILES);

    unset($input['input']);
    unset($input['not_unset']);

    while (list($var,) = @each($input))
    {
        if (in_array($var, $not_unset))
        {
            die('Hacking attempt!');
        }
        unset($$var);
    }

    unset($input);
}

Was ich mich frage ist, wozu ein $input['input'] und $input['not_unset']
entfernt wird und welche überhaupt?

Anzeige

- Anzeige -

11.05.07, 20:00	#1 (permalink)
jesus Registriert seit: 08.12.06 Likes: 0	Codefolge in Schutz gegen Parameter-Tricks Anzeige Hallo. In der common.php von phpbb 2.0.22 ist ein Schutz gegen Parameter-Tricks PHP-Code: if (@ini_get('register_globals') == '1' \|\| strtolower(@ini_get('register_globals')) == 'on') { // PHP4+ path $not_unset = array('HTTP_GET_VARS', 'HTTP_POST_VARS', 'HTTP_COOKIE_VARS', 'HTTP_SERVER_VARS', 'HTTP_SESSION_VARS', 'HTTP_ENV_VARS', 'HTTP_POST_FILES', 'phpEx', 'phpbb_root_path'); // Not only will array_merge give a warning if a parameter // is not an array, it will actually fail. So we check if // HTTP_SESSION_VARS has been initialised. if (!isset($HTTP_SESSION_VARS) \|\| !is_array($HTTP_SESSION_VARS)) { $HTTP_SESSION_VARS = array(); } // Merge all into one extremely huge array; unset // this later $input = array_merge($HTTP_GET_VARS, $HTTP_POST_VARS, $HTTP_COOKIE_VARS, $HTTP_SERVER_VARS, $HTTP_SESSION_VARS, $HTTP_ENV_VARS, $HTTP_POST_FILES); unset($input['input']); unset($input['not_unset']); while (list($var,) = @each($input)) { if (in_array($var, $not_unset)) { die('Hacking attempt!'); } unset($$var); } unset($input); } Was ich mich frage ist, wozu ein $input['input'] und $input['not_unset'] entfernt wird und welche überhaupt?

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Ansicht
Linear-Darstellung Zur Hybrid-Darstellung wechseln Zur Baum-Darstellung wechseln

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Schutz gegen Sniffing im Firmennetz	timmek	(In)security allgemein	8	06.12.08 17:06
Schutz gegen man-in-the-middle-attack	Bogus	(In)security allgemein	35	27.06.08 23:49
Schutz gegen Ophcrack?	Serow	Doppelte Beiträge	2	19.11.06 18:09
Schutz gegen Botnetze	Globestern	(In)security allgemein	9	21.07.06 20:03
Schutz Gegen gefährlich Stream´s !?	Nox	(In)security allgemein	0	06.11.04 19:28

[HaBo]

Codefolge in Schutz gegen Parameter-Tricks