안전한 PHP 포함

Question

안전합니까? 또는 RFI/LFI를 사용할 수 있습니까?

$request_uri = explode('/', $_SERVER['REQUEST_URI']); 
$script_name = explode('/', $_SERVER['SCRIPT_NAME']); 

for ($i = 0; $i < sizeof($script_name); $i++) { 
    if ($request_uri[$i] == $script_name[$i]) 
    { 
     unset($request_uri[$i]); 
    } 
} 

$command = array_values($request_uri); 

if (file_exists('controllers/' . $command[0] . '.php')) { 
    include 'controllers/' . $command[0] . '.php'; 
} 

갱신 :

if (isset($_GET['p'])) { 
    $pages = array('home', 'login', 'register'); 
    $page = filter_var($_GET['p'], FILTER_SANITIZE_URL); 

    if (in_array($page, $pages) && file_exists($page . '.php')) { 
     include ($page . '.php'); 
    } else { 
     include ('404.php'); 
    } 
} 
else { 
    include ('home.php'); 
} 

Answer 1

귀하의 코드는 PHP의 include에 사용자가 제공 한 임의의 문자열을 공급; 이것은 매우 좋지 않으며 꽤 많은 교과서 예제입니다 https://www.owasp.org/index.php/Server-Side_Includes_(SSI)_Injection

어떤 문제를 해결하려고합니까?

Answer 2

글쎄, $command[0]에 영숫자 (및 밑줄 및 하이픈) 만 포함되어 있다면 은이 다소 안전 할 수 있습니다.

if (!ctype_alnum($command[0])) { 
    // Hacking attempt! 
    exit; 
} 

을하지만 여전히 사용자 입력을 기반으로 파일을 포함하는 나쁜 생각 : 다음과 같은

뭔가 일을 할 수 있습니다. URI를 컨트롤러에 매핑하는 조회 테이블을 사용하고 autoload를 사용하여 관련 파일을 포함하는 것이 더 좋습니다. 이렇게하면 사용자 입력과 포함 사이에 강력한 구분이 있습니다.