include et danger

[horlogerie]

Bonjour,
Un code comme celui-ci est-il susceptible d'être vulnérable ou est-ce seulement avec les GET

<?php include ("http://www.monsite.com/fichier.html"); ?>

Merci

[Ohax]

C'est avec les get que ça "peu" poser problème "si" la parade qui consiste à vérifier la présence d'un fichier test n'est pas mise en place.

[Serious]

Si tu as confiance en monsite.com (et en tes serveurs DNS), pas de probleme. Et un include est un GET.

[e-kiwi]

par contre, si tu peux inclure un fichier distant (je vois l url absolue, je me dit que c est un autre nom de domaine) alors tout le monde peut le faire sur ce fichier

[horlogerie]

Comment

[e-kiwi]

ben en tappant le meme code :
<?php include ("http://www.monsite.com/fichier.html"); ?>

ou alors tu restes bien sur le meme nom de domaine, donc tu fais un include("./fichier.html"). ou se trouve le fichier ? tu est sur un dédié ? un mutualisé ? le fichier que t inclus est où ?

[jeanluc]

Bonjour,
Un code comme celui-ci est-il susceptible d'être vulnérable ou est-ce seulement avec les GET

<?php include ("http://www.monsite.com/fichier.html"); ?>

Je ne vois pas comment un code qui ne contient aucune variable peut être vulnérable.

Jean-Luc

[guicara]

Bonjour,
Un code comme celui-ci est-il susceptible d'être vulnérable ou est-ce seulement avec les GET

<?php include ("http://www.monsite.com/fichier.html"); ?>

Je ne vois pas comment un code qui ne contient aucune variable peut être vulnérable.

Jean-Luc

Pareille, comment ? C'est impossible !
Il a indiqué monsite, pas sonsite non ?

[xescorp]

Aucun risque ni avec GET, ni rien.

[NextGeneration]

Aucun risque ni avec GET, ni rien.

T'as raison riton.

Mets ça sur ton index.php:

<?php include $_GET['page'] ?>

et donne moi ton url. Jvais faire du ménage

[Serious]

C'est une question de confiance. Il n'y a pas de risque tant que le serveur distant et les DNS ne sont pas compromis. Maintenant, si qqn arrive a modifier fichier.html ou l'IP de monsite.com et insere du code dangereux... il peut faire ce qu'il veut.
Au passage on utilise pas include() pour inserer du html. La fonction readfile() permet d'inserer un fichier sans l'executer, ce qui est beaucoup plus sur. http://fr2.php.net/manual/fr/function.readfile.php