[include] in der Browserzeile bestimmen

[Laire]

Hallo,

ich habe bei mehrern Seiten gesehen, das man den Include Bereich einer Internetseite auch in der Browserzeile bestimmen kann.

Wie geht das?

als Beispiel steht in meiner Seite:

<?PHP
include("gbstart.php");
?>


Wie muss das Aussehen, wenn ich die Include datei durch die Internetadresse bestimmen will?

z.b.:

http://www.meinewebsite.de/index.php?path=start.php

Was muss ich da eintragen?

[Big Chief]

include($_GET['path']); 

[Laire]

Ok vielen Dank für die schnelle Hilfe....

[pekka]

Sei dir aber des gigantischen Sicherheitslochs bewußt, das du damit aufreißt. Ein include() via Dateisystem umgeht Zugriffskontrollen wie .htaccess-Passwortabfragen und Sessions.

[derHund]

Original geschrieben von pekka
Sei dir aber des gigantischen Sicherheitslochs bewußt, das du damit aufreißt.

wenigstens hat es noch jemand erwähnt.

[Laire]

hmm und was bedeutet das genau bzw. kann man das irgendwie verhindern? Diese Seite arbeitet doch auch mit dem Prinzip oder?


Welche gefahren setzte ich mich und meiner Mitglieder aus?

Also Sicherheitsrelevante Daten werden bei uns eigentlich nicht gehandhabt, wir sind einfach nur eine Fan Community eines Online Spiels.

[Offe1]

Hi,

nimm doch ein Array:

$dateien = array(
"start" => "start.php",
"stop" => "stop.php");

if (!empty($_GET['path']) && array_key_exists($_GET['path'], $dateien){
  include($_GET['path']);
} 

Offe

[TobiaZ]

wenigstens hat es noch jemand erwähnt.

das wurde im forum schon so oft werwähnt. *gähn*

[pekka]

Du setzt dich der Gefahr aus, daß jede für den Webserver erreichbare Datei included werden kann - mit oft unabsehbaren Folgen. Etwas mehr Arbeit, aber viieel sicherer: Eine interne Tabelle, die eine Zuordnung zwischen Seitenname (z.B. "hauptseite") und dem entsprechenden Include herstellt. Damit fährst du immer noch recht flexibel - Du mußt bei Änderungen in der Navigationsstruktur nur die Zuordnungstabelle updaten - und sicher: Nur die in der Tabelle erwähten Dateien können included werden.

Beispiel:

Ein Array anlegen mit z.B. folgenden Werten:

$includes["hauptseite"] = "/home/hauptseite.php";
$includes["ueberuns"] = "/home/ueberuns.php";
$includes["kontakt"] = "/home/kontakt.php"; 

Beim Aufruf der index.php wird nun beispielsweise folgendes übergeben:

www.meineseite.de/index.php?path=hauptseite

In der Index.php wird die Hauptseite dann folgendermaßen eingebunden:

if file_exists($includes[$_GET["path"])
 include $includes[$_GET["path"];
else 
 die ("Seite nicht gefunden!"); 

[wahsaga]

Original geschrieben von pekka
Du setzt dich der Gefahr aus, daß jede für den Webserver erreichbare Datei included werden kann - mit oft unabsehbaren Folgen.

das scheint aber schon abgefangen zu sein, denn http://www.ug-team.de/include.php?pa...p-resource.de/ liefert nur eine fehlermeldung.

[derHund]

Original geschrieben von TobiaZ
das wurde im forum schon so oft werwähnt. *gähn*

*zurückgähn
nur leider hat sich Laire nicht die mühe gemacht, ...

das scheint aber schon abgefangen zu sein,

neulich gings noch ...

[Laire]

Das ist meine momentane Seite, bei meinen ganzen Fragen die ich hier stelle geht es um den Neuaufbau meiner Seite und zwar ist das momentan:

http://www.ug-team.de/index2.php?path=include/start.php

und da geht das wohl noch....

[webINspirit]

Habe auch eine frage dazu

Kann ich den include nicht für bestimmte Ordner sperren oder nur für bestimmte zulassen??

zb.:

if($dir == './geheim')
 {echo"Diese Seite kann leider nicht angezeigt werden"; }
else {
  include('$path') } 

Habe nur noch keine Idee wie man es am besten verwirklichen kann.

[wahsaga]

Re: Habe auch eine frage dazu

Original geschrieben von webINspirit
Habe nur noch keine Idee wie man es am besten verwirklichen kann.

mit den stringfunktionen überprüfen, ob der "richtige" ordner am anfang des pfades steht.

[eurohasi]

Wenn mans nicht in einem array sondern in einer datenbank ab speichert -> übersichtlicher (schneller?!)


z.B.:
+---+------+----+
| ID | Name | Url |
+---+------+----+

$SQL = "SELECT * FROM site WHERE Name = '". $_GET['action'] ."'";
mysql_select_db($DB,$Conn);
$RS=mysql_query($SQL,$Conn);
while($zeile=@mysql_fetch_array($RS))
    {
    if(isset($zeile[URL])
        {
        include $zeile[URL];
        }
    } 

man kann dies dann auch mit einem sicherheitssystem koppeln indem man in der Tabelle noch eine Spalte macht für wen diese Seite öffenbar ist ...
was denkt ihr?