Zacznijmy kurs

Using Register Globals

Podręcznik PHP
Poprzedni		Następny

Rozdział 29. Using Register Globals

Perhaps the most controversial change in PHP is when the default value for the PHP directive register_globals went from ON to OFF in PHP 4.2.0. Reliance on this directive was quite common and many people didn't even know it existed and assumed it's just how PHP works. This page will explain how one can write insecure code with this directive but keep in mind that the directive itself isn't insecure but rather it's the misuse of it.

When on, register_globals will inject your scripts with all sorts of variables, like request variables from HTML forms. This coupled with the fact that PHP doesn't require variable initialization means writing insecure code is that much easier. It was a difficult decision, but the PHP community decided to disable this directive by default. When on, people use variables yet really don't know for sure where they come from and can only assume. Internal variables that are defined in the script itself get mixed up with request data sent by users and disabling register_globals changes this. Let's demonstrate with an example misuse of register_globals:

Przykład 29-1. Example misuse with register_globals = on


<?php
// define $authorized = true only if user is authenticated
if (authenticated_user()) {
    $authorized = true;
}

// Because we didn't first initialize $authorized as false, this might be
// defined through register_globals, like from GET auth.php?authorized=1
// So, anyone can be seen as authenticated!
if ($authorized) {
    include "/highly/sensitive/data.php";
}
?>

When register_globals = on, our logic above may be compromised. When off, $authorized can't be set via request so it'll be fine, although it really is generally a good programming practice to initialize variables first. For example, in our example above we might have first done $authorized = false. Doing this first means our above code would work with register_globals on or off as users by default would be unauthorized.

Another example is that of sessions. When register_globals = on, we could also use $username in our example below but again you must realize that $username could also come from other means, such as GET (through the URL).

Przykład 29-2. Example use of sessions with register_globals on or off


<?php
// We wouldn't know where $username came from but do know $_SESSION is
// for session data
if (isset($_SESSION['username'])) {

    echo "Hello <b>{$_SESSION['username']}</b>";

} else {

    echo "Hello <b>Guest</b><br />";
    echo "Would you like to login?";

}
?>

It's even possible to take preventative measures to warn when forging is being attempted. If you know ahead of time exactly where a variable should be coming from, you can check to see if the submitted data is coming from an inappropriate kind of submission. While it doesn't guarantee that data has not been forged, it does require an attacker to guess the right kind of forging. If you don't care where the request data comes from, you can use $_REQUEST as it contains a mix of GET, POST and COOKIE data. See also the manual section on using variables from outside of PHP.

Przykład 29-3. Detecting simple variable poisoning


<?php
if (isset($_COOKIE['MAGIC_COOKIE'])) {

    // MAGIC_COOKIE comes from a cookie.
    // Be sure to validate the cookie data!

} elseif (isset($_GET['MAGIC_COOKIE']) || isset($_POST['MAGIC_COOKIE'])) {

   mail("admin@example.com", "Possible breakin attempt", $_SERVER['REMOTE_ADDR']);
   echo "Security violation, admin has been alerted.";
   exit;

} else {

   // MAGIC_COOKIE isn't set through this REQUEST

}
?>

Of course, simply turning off register_globals does not mean your code is secure. For every piece of data that is submitted, it should also be checked in other ways. Always validate your user data and initialize your variables! To check for uninitialized variables you may turn up error_reporting() to show E_NOTICE level errors.

For information about emulating register_globals being On or Off, see this FAQ.

Tablice superglobalne: uwaga na temat dostępności: Od PHP w wersji 4.1.0, udostępnione zostały tablice superglobalne takie jak $_GET, $_POST czy $_SERVER. Więcej informacji można znaleźć w rozdziale superglobals

Poprzedni	Spis treści	Następny
Error Reporting	Początek rozdziału	User Submitted Data

Wątki z forum o php

Najnowsze posty naszych userów

nie w��cza sie ca�kowicie instalator systemu win xp.
witam, chc� mojej dziewczynie sformatowa� komputer, po ustawieniu kolejno�ci bootowania, resetuje komputer, wk�adam plyte z windowsem, i pojawia sie czarny ekran z informacja, ze wlacza sie instalator windows, potem pojawia sie niebeiski ekran z napisem instalator rozpakowywuje pliki i wtym momencie komputer staje, dysk przestaje sie krecic i naped tez, cos jakby zawieszka, dzieje sie to zarowno w przypadku winxp 1 wer. jak i ta z sp2. prosze o pomoc,

plyta glowna ECS, proc. Athlon 1GHz.
dual layer czy Double layer
Witam

Patrz� w everest jakie p�yty obs�uguje moja nagrywarka dvd.I przy jednej opcji pisze DVD+R9 Dual Layer czym� si� r�zni od duble layer?I czy mog� kupi� p�ytki duble layer aby je nagra�? czy musz� by� dual layer

Kaszanka dobra do wszystkiego [+18]
Drogie Bravo, drodzy koledzy i kole�anki.Mam na imi� Dagmara i mam 19 lat. Moja sytuacja jest bardzo krepuj�ca i nie wiem co teraz mam zrobi�. Jestem ju� doros�� dziewczyn� i mam wspania�ego ch�opaka o imieniu Marcin, kt�rego kocham ponad �ycie i my�l� ze on odwzajemnia moje uczucie. Jeste�my ju� razem 6 miesi�cy i postanowili�my dokona� Aktu Mi�osnego, aby umocni� nasz zwi�zek. Nie fart polega na tym �e ja jestem dziewic�, a z tego co wiem On jest ju� do�wiadczonym m�czyzn�. Bardzo obawia�am si� �e nie spe�ni� jego oczekiwa , po prostu zawiod�! Na dodatek wszystkie moje kole�anki potraci�y ju� dziewictwo i �eby mie� o czym rozmawia� z nimi, powiedzia�am �e ja r�wnie� nie jestem jak to si� m�wi potocznie "cnotk�". O tym fakcie dowiedzia� si� Marcin od mojej kole�anki, Moniki, kt�ra jest jego dobr� znajom�. Gdy Marcin zapyta� czy to prawda nie zaprzeczy�am. Ustalili�my nasz Pierwszy Raz na najbli�szy weekend, poniewa� Marcina rodzice jad� na wesele. Bardzo si� obawia�am b�lu, oraz tego �e Marcin pos�dzi mnie o k�amstwo, wi�c postanowi�am jako� sobie poradzi�. Nie chcia�am przespa� si� z "pierwszym lepszym" gdy� kocham Marcina i chc� aby to on by� moim Pierwszym M�czyzn�!! Akurat zdarzy�o si� tak �e by�am sama w domu i postanowi�am upora� si� z moja b�ona dziewicz�. Nie chcia�am robi� tego palcami ani jakim� twardym przedmiotem a na wibrator niestety nie by�o by mnie sta�. Posz�am wi�c do lod�wki i zobaczy�am nadaj�c� si� do mojego czynu kaszank�. Odpowiada�a mi rozmiarem i grubo�ci�, by�a troch� za zimna i za twarda wi�c postanowi�am ja podgotowa�. Kiedy nareszcie ostyg�a, nasmarowa�am ja wazelin�, i zacz�am wk�ada� j� do pochwy. Podda�am si� chyba za bardzo chwili i za bardzo j� �cisn�am. Wtedy sta�o si� najgorsze co mog�o si� sta�!! KASZANKA SI� Z�AMA�A!!!!!!!!!!Rozpaczliwie pr�bowa�am j� wyj�� palcami ale chyba troch� za bardzo j� rozgotowa�am i niekt�re kawa�ki kaszanki zosta�y mi w pochwie i nie mog� ich wyj��! Wstydz� si� i�� do ginekologa a za kilka dni wyczekiwany przez nasz� dw�jk� upojny weekend!! Nie wiem co mam zrobi� i do kogo si� zwr�ci�. Co teraz pomy�li o mnie Marcin!! B�AGAM POMӯCIE!!!!!
Zrozpaczona

Odpowied� Bravo:
Na wst�pie pragniemy podzi�kowa� Ci za podzielenie si� z nami swoim problemem. W twojej nader ciekawej sytuacji proponujemy Ci dwa rozwi�zania:
1. Ekstrawaganckie w stylu new art.
2. Si�owe

Pierwsze wydaje nam si� ciekawe lecz mo�e nie przynie�� spodziewanych efekt�w. Musisz pokroi� cebul� w kostk�, a nast�pnie podsma�y� j� na z�ocisty kolor na patelni (koniecznie na oleju z pierwszego tloczenia). Nast�pnie musisz dopcha� j� do pochwy i zrobi� 3-4 przysiad�w tak aby zmiesza�a si� z kaszank�. Potem zapro� swojego ukochanego na romantyczne spotkanie inicjuj�ce. Przed pierwszym stosunkiem zaproponujesz mu wi�c kaszank� po staropolsku w wersji francuskiej. W ten spos�b osi�gniesz dwa cele: udowodnisz mu, �e bardzo go kochasz i jednocze�nie poka�esz, �e �wietnie gotujesz. Przypominamy Ci powiedzenie "PRZEZ �O��DEK DO SERCA".

Rozwi�zanie drugie jest jednak o wiele bardziej skuteczne. Przygotuj patelni� na kt�rej mia�a� zarumieni� cebulk�. Nast�pnie we� j� w praw� r�k� (je�li jeste� lewor�czna to w lew�) i [beeep]nij si� ni� z ca�ej si�y w g�ow� - bo tobie to ju� chyba nic nie pomo�e!
Z powa�aniem Redakcja

Problemem bylo to, ze autor nie pozostawil mozliwosci zmian, wiec za pomoca programu PHP WebPage Editor zmienilem pewne potrzebne mi wartosci (ilosci wojsk - to akurat bylo latwe do znalezienia...), ale nie wiem, ktore wartosci odpowiadaja za czas wysylania tych jednostek wojska - chce zmienic z tych kilkunastu sekud na ok 1,5 godz... (to dziwne, bo nie jest to regularne - niektore ataki wychodza co 10 sek, niektore co 15 albo 20.

Html & php

Podstrony:

Od autora...

Zacznijmy kurs

Rozdział 29. Using Register Globals

Wątki z forum o php