php functie register_globals belemmer de veiligheid?

[Dana]

ik ben bezig geweest met php en ik vroeg mij af of jullie (webhosters)
deze functie aan of uit zetten in verband met veiligheid?

als deze uit staat kan ik namelijk een paar functies in mijn bestanden en scripts niet uitvoeren..

kan iemand mij wat meer info geven over deze register_globals en de veiligheid hiervan?

[PeterT]

Aan. De functie op zich is niet 'gevaarlijk', het is hoe je het gbruikt in je scripts of het een probleem kan opleveren.
Natuurlijk staat het klanten vrij om het uit te zetten dmv .htaccess files

[V. Kleijnendorst]

<?php

if($username == 'abc' $password == 'xyz'){
  $loggedin = 1;
}
// ..

// ..


if ($loggedin == 1){
  echo 'ingelog met juiste gebruikersnaam en wachtwoord';
}
?>

Als je register_globals uitzet, dan hoef je minder te letten op het setten van vars. Het bovenstaande is natuurlijk gewoon een erg slecht script, maar met register_globals aan, zou je het script zo aan kunnen roepen:

scriptnaam.php?loggedin=1

Met register_globals off zou dat nooit kunnen.
Ik vind scripts die met register_globals off werken veel mooier en overzichtelijker, omdat in één oogopslag duidelijk is waar een variabele vandaan komt:

$_POST
$_GET
$_SESSION
$_SERVER
$_COOKIE

[Triloxigen]

Het staat uit vanwege de veiligheid van de gebruikers zelf..
De meeste personen klussen maar wat aan niet rekening houdend met veel veilogheids risico's.
En dan staat er vaak een mysql password in de source die hetzelfde is als de ftp, mail, etc...

[WH-Tim]

Origineel geplaatst door Triloxigen
Het staat uit vanwege de veiligheid van de gebruikers zelf..
De meeste personen klussen maar wat aan niet rekening houdend met veel veilogheids risico's.
En dan staat er vaak een mysql passwordt in de source die hetzelfde is als de ftp, mail, etc...

Dit meen je toch niet serieus he Triloxigen?

[Triloxigen]

Origineel geplaatst door WH-Tim


Dit meen je toch niet serieus he Triloxigen?

Je moest eens voor de gein weten hoe weinig slaap ik heb gehad de afgelopen 2 weken....

[DG-Hosting]

Nadeel is als het uitstaat dat vele oudere scripts niet meer werken.
Wij zijn recentelijk gemigreert van een freebsd naar een redhet machine (beide machines met plesk 7.1.7)

Na de migratie niets als klachtenontvangen dat websites niet meer correct werken etc.
Wat bleek, op de redhat installatie stond in Plesk deze globals uit terwijl die op de freebsd installitie aan staat.

Nou probeer dat de meeste klanten maar eens uit te leggen, de weeste weten niet eens wat het is.
Gelukkig kun je het in Plesk per domein apart aanzetten.

[royen99]

Een .htaccess file met:

php_flag register_globals On

doet ook wonderen, dan kan de klant het zelf in de hand houden.

[Dana]

oke, ik zit nog erg te twijfelen of ik het zal gebruiken of niet..
maar wat is dan een alternatief voor de codes? want ik weet dus niet wat ik aan die codes moet veranderen om zonder die register globals moet werken.

het zit zo:
ik ben een soort van fotoalbum aan het maken waarbij ik zelf in een admin alles kan toevoegen,wijzigen deleten. dit gaat allemaal via een $id in de database, dus als ik iets verwijder dan klik ik op de link verwijder waarachter dus die $id zit. nu heb ik het gedaan met .$post maar dat kan dan niet ivm de register globals die uit staat.

volgen jullie me nog?
zo ja weten jullie hier een oplossing voor? of een site waar dat op staat?

[DG-Hosting]

Je gebruikt dan
$_GET ['waarde'];
en
$_POST['waarde'];
om waardes uit een url of form te halen, met globals on kun je de waarde direct aanspreken , bv echo "$waarde"; die je via een link of <form hebt ingeven, staat globals uit dan werkt dat niet meer, dan zul je de waarde dus eerst via deze commando's moeten retrieven.

[Dana]

maar ik gebruik dit dus al: $_POST['waarde'];
maar dit doet ie niet, waarschijnlijk omdat register_globals uitstaat, of maak ik hier een fout?

dit is de code waar die de mist ingaat:

if (!empty($_POST))
{
echo ("DATABASETABEL_ID: ".$_POST["DATABASETABEL_ID"]);
}
else
{
echo "niets";
}

DATABASETABEL_ID is door mij vervangen uiteraard.

het gene wat ie dus laat zien als ik de pagina oproep is niet.
de echo die ik zo genoemd heb als tie niet werkt.

kan iemand mij helpen, of mij een duwtje in de rug geven.

[Rik]

Waarom vraag je je provider niet ff of hij je wilt helpen, of hij iemand weet die het voor je kan fixen ?

[Dana]

Origineel geplaatst door Rik
Waarom vraag je je provider niet ff of hij je wilt helpen, of hij iemand weet die het voor je kan fixen ?

zal ik is doen

[DG-Hosting]

Origineel geplaatst door Dana
maar ik gebruik dit dus al: $_POST['waarde'];
maar dit doet ie niet, waarschijnlijk omdat register_globals uitstaat, of maak ik hier een fout?

Staat globals op on dan hoef je dit niet te gebruiken staat het op off dan moet je dit wel gebruiken.
Maar $_POST['waarde']; werkt zowel bij on als bij off.

[Dana]

Origineel geplaatst door DG-Hosting


Staat globals op on dan hoef je dit niet te gebruiken staat het op off dan moet je dit wel gebruiken.
Maar $_POST['waarde']; werkt zowel bij on als bij off.

oh dat heb ik ook zie mijn post hierboven, dat is de code maar voor de vage reden doet ie dat niet:S