Faile dans $_POST?

Question

Bonjour tout le monde,



Les programmeurs php se souviennent : Avant, avec les anciennes versions de PHP, il suffisait de faire une page avec dedans <? echo $toto ?>.



Vous me suivez jusque-l&#224;. La variable $toto n'&#233;tait d&#233;finit &#224; nulle
part, la page affichera qqch si on tappe dans notre navigateur pr&#233;f&#233;r&#233;
(firefox) mapage.php?toto=  211223



Jusque l&#224; tout va bien. En pouvait faire la m&#234;me chose en en cr&#233;ant un
formulaire sur une autre page avec comme action notre fameuse page avec
la m&#233;thode post, si on avait un champ texte, la page affichera sa
valeur.



Bref... Tout cela est bien beau. si maintenant on refait les m&#234;mes exp&#233;riances avec le php  nouveau  &#231;a ne fonctionnera plus....



Pourquoi avoir chang&#233; qqch qui marchait au poil?



J'ai trouv&#233; une solution pour y rem&#233;dier dites moi ce que vous en pensez:



Je parle de &#231;a

foreach($_POST as $var =>$value)

        $$var=$value; //Fait $NoCode=sdksjskd;



Ce petit bout de code prends le tableau post&#233;,



essayez  print_r($_POST)  et vous optiendrez un truc du style:



Array ( [formName]  => AddComputer [backurl] => index.php [id]
> 19 [NoCode!] > dfsdf [Nom!] => dddd [IpAddress] =>
asdsda [MacAddress] => dasasddsadsasda [NoSerieManuf] => asddass
[FactureNo] => daasd [PurchaseDate] => 2005-05-10 [ModelId] =>
8 [CptTypeId] => 2 [InUseId] => 1 [UserId] => 2 [RoomId] =>
3 [ManufacturerId] => 0 [ProviderId] => 1 [Notes] => lasddas
[send] => Update )



Le foreach dont je parle prends tous les noms de variable entre
crochets, en cr&#233;e avec ce nom et les d&#233;fini. exemple $formName =
AddComputer. Et Tout &#231;a est 100% automatique



Ma question est : Je recr&#233;e ce que php a supprim&#233; dans ses nouvelles versions, suis-je en train de r&#233;activer une faille?

mcjoedassin · Answer

http://fr3.php.net/register_globals

cs_Anthomicro · Answer

Salut, pourquoi avoir changé ça ? tout simplement parce que c'était la porte ouverte aux failles de sécurité... imaginons que tu envoies un formulaire via méthode post avec un champ nommé "variable" qui est de type hidden et ne doit donc pas être modifié par l'utilisateur. Celui-ci veut tester ton site et met donc une url du style site.com/page.php?variable=blablablebal ici, en général ta variable post sera supprimée et lorsque tu récupèreras le contenu de ta variable elle sera remplacée par blablablebal ce n'est qu'un exemple parmis tant d'autres...

Entraide, dépannage et vulgarisation informatique : Mon site de vulgarisation informatique

mcjoedassin · Answer

youps, il marche pas ton exemple Anthomicro ! Un utilisateur peut poster ce qu'il veut :) la page web est juste là pour le style !

cs_Anthomicro · Answer

ouais il peut poster ce qu'il veut, enfin c'était ce que j'ai tenté de faire comprendre

Entraide, dépannage et vulgarisation informatique : Mon site de vulgarisation informatique

dufour137 · Answer

Ouais, mais m&#234;me avec un syst&#232;me comme le mien il peut poster ce qu'il
veut. en fait peu importe le syst&#232;me, on postera toujous ce qu'on
voudra avec un socket ouvert sur le site via c, c++, java, php,
python...

mcjoedassin · Answer

via nc/telnet quoi
va voir sur le manuel, la question que tu soulèves y est très détaillée

mcjoedassin · Answer

ou wget/curl encore plus simple

cs_Anthomicro · Answer

Tu ne posteras pas ce que tu veux à partir du moment ou tu vérifies correctement en PHP ce que l'utilisateur rentre comme données... Après c'est sûr que si t'utilises javascript en plus des register_globals à on je donne pas dix minutes pour que ton site soit en rade une fois que tu nous aura passé l'url (lol)

Entraide, dépannage et vulgarisation informatique : Mon site de vulgarisation informatique

mcjoedassin · Answer

le truc que tu fait ici est encore pire parce que tu vas écraser les variables de sessions.
Ben, tu postes ce que tu veux dans le sens ou tu peux faire une requete post avec les variables que tu veux. Après, libre au programmeur de faire un code pourri avec les variables récupérées :D

dufour137 · Answer

Non, &#231;a ne va pas &#233;craser les variables $_SESSION &#231;a n'&#233;crase que les
variables $_POST, mais c'est vrai que d'un c&#244;t&#233; c'est du code pas super
propre, car l'utilisateur d&#233;butant ne comprendra pas pourquoi &#231;a
fonctionne.

Faile dans $_POST?

10 réponses

Votre réponse

Discussions similaires