Re: [PHP]huidige mapnaam en file verplaatsen

Article View: be.comp.programming

Article #1946

Back to be.comp.programming Previous Next

#1946

From: JeroenV
Date: Sun, 07 Nov 2004 16:05

22 lines
1785 bytes

Cajmere wrote:

>>> if (isset($_GET['verplaats'])){
>>>$filemove�=�$uploadDir.$_GET['verplaats'];
>>>$movetoDir�=�$uploadDir.$_REQUEST['toDir']."/";
>> 
>> Je snapt dat dit stukje code *extreem insecure* is?
> 
> ff vraagje. Waarom?
> is dit omdat er geen controle is op wat er verplaatst wordt?
> kwestie van iets bij te leren :-).

Inderdaad. Met een beetje creatieve parameters door te geven aan het
PHP-script kan je elk bestand op de server naar elke directory verplaatsen.

Een gouden regel is: vertrouw nooit op wat je binnenkrijgt van de gebruiker.
Check alles en zorg dat je zeker bent dat je enkel en alleen binnenkrijgt
wat je verwacht.

-- 
Mvg, JeroenV
http://www.briachons.org/

Technical Details

Message-ID: <1186950.ngCML7DxEk@jvaes.cjb.net>

Path:

arc1-ca.pugleaf.net!g2news1.google.com!news3.google.com!news.glorb.com!wns13feed!worldnet.att.net!204.71.34.3!newsfeed.cwix.com!ossa.telenet-ops.be!phobos.telenet-ops.be.POSTED!not-for-mail

References:

<lbsid.11274$bH7.506911@phobos.telenet-ops.be> <Xns95976B3761953castleamber@130.133.1.4> <pan.2004.11.06.12.37.31.887519@telenet.doe_dit_weg.be>

Show Full Headers

Complete Article Headers

X-Google-Thread: fcea4,92446d64393f61ae
X-Google-Attributes: gidfcea4,public
X-Google-Language: DUTCH,ASCII
Path: arc1-ca.pugleaf.net!g2news1.google.com!news3.google.com!news.glorb.com!wns13feed!worldnet.att.net!204.71.34.3!newsfeed.cwix.com!ossa.telenet-ops.be!phobos.telenet-ops.be.POSTED!not-for-mail
Message-ID: <1186950.ngCML7DxEk@jvaes.cjb.net>
From: JeroenV <jeroenv@pebbels.invalid>
Subject: Re: [PHP]huidige mapnaam en file verplaatsen
Newsgroups: be.comp.programming
Reply-To: jeroenv@pebbels.be
References: <lbsid.11274$bH7.506911@phobos.telenet-ops.be> <Xns95976B3761953castleamber@130.133.1.4> <pan.2004.11.06.12.37.31.887519@telenet.doe_dit_weg.be>
Lines: 22
Organization: Fuckit Inc.
User-Agent: KNode/0.8.0
MIME-Version: 1.0
Content-Type: text/plain; charset=iso-8859-1
Content-Transfer-Encoding: 8Bit
Date: Sun, 07 Nov 2004 16:05:46 GMT
NNTP-Posting-Host: 213.118.44.103
X-Complaints-To: abuse@telenet.be
X-Trace: phobos.telenet-ops.be 1099843546 213.118.44.103 (Sun, 07 Nov 2004 17:05:46 MET)
NNTP-Posting-Date: Sun, 07 Nov 2004 17:05:46 MET

Reply to Parent Message