[PHP] Säkerhet och include

Hej, jag funderar på att köra följande kod på en sida:

$page = $_GET['p'];
$res = @include($page . '.htm');

if($res != 1)
	echo '<h1>Sidan kunde ej hittas</h1>Hittade inte ' . $page;

Undrar lite över säkerheten... servern körs i Safe Mode så det skulle inte gå att peka till en extern fil vad jag förstår. Alternativet är att göra en strängmatchning för alla potentiella sidor på sidan och därmed säkerställa att det inte missbrukas.

Jag kommer nog oavsett att göra så, men det är ändå roligt att få veta om det hade varit helt otänkbart ur säkerhetssynpunkt.

Jag får då förtydliga att jag inte alls är intresserad av säkerhetslösningar. Tråden ska inte innehålla inlägg som Akiras här ovan, alltså. Strängmatchning klarar jag själv, tack.

Wishie har helt rätt, användarvänligheten har inget med det här att göra. Tanken är att URLerna blir ganska snygga, t.ex. kan jag köra index.php?p=Ge_ett_barn_en_familj

Jag tycker personligen att det blir lika snyggt som en 404 också. Eller om vi säger såhär; det går att göra det här felmeddelandet lika snyggt som en 404 och tvärtom... jag tänker ju skriva ut denna H1 med felmeddelande som content istället för det riktiga innehållet som hade inkluderats om sidan hade hittats.

Jasså? Om man inte kör Safe Mode kan en include göras på externa URLer men när man kör Safe Mode (och specificerar en safe_mode_include_dir, kör PHP version < 6.0) nekas detta, som jag förstått det.

Sen får man inte alls mågot felmeddelande eftersom jag använder ett @ innan include. Eftersom jag använder include ist för require är det dessutom bara varningar, som inte ens visas på min webbserver per default.

Det verkar alltså som att detta inte har någon uppenbar säkerhetsbrist ändå?

header('404 Not found');

Alltså, för att göra din långa historia kort, kan det innebära ett säkerhetsproblem att lita på källkoden för include. Det var det relevanta.

Angående felmeddelande (404) är det lite off-topic. Att köra @include är ju bara en variant, det går att först kolla om filen existerar t.ex. för att undvika notices, varningar och felmeddelanden. Jag gjorde ett så enkelt exempel som möjligt för att visa vad jag menade ur säkerhetssynpunkt, bara. Går att redirecta till en 404 också.

Den enda sökmotor jag bryr mig om för denna sida är Google, och Google länkar gärna till sidor med GET-data. För en användare är det lika tydligt med http://www.htl.se/?p=Ge_ett_barn_en_familj som det är med http://htl.se/Ge_ett_barn_en_familj, det sistnämnda innehåller bara några fler obegripliga tecken än det första för en internetanvändare att följa.

Magic Quotes vet jag inte varför du nämner, och jag har redan delat upp sidan i header, content och footer men som sagt var det bara den relevanta koden som jag postade.

Har du någon källa på det där med "inte alltid täpper till"?

Jag har tyvärr ingen kontroll över servern, det är One som har makten i sin hand!

Ja jag håller med om att det är snyggare, men jag ska skapa en dynamisk lista över artiklar och sorterar helst inte in det i separata mappar då det kan bli upp emot 100 mappar då... väldigt oöverskådligt. Vet inte hur mycket pill med .htaccess som One stödjer heller, men det är säkert inte mycket och jag orkar ändå inte pilla. Användarna får stå ut med att titta på /?p= istället för / helt enkelt, jag sparar tillräckligt mycket tid för att det ska vara värt det.

"Du menar det första, hur som, det är värt att nämna återigen"
den där meningen förstod jag inte mycket av...

EDIT

Stämmer bra! (jag skrev därför ovan att mitt webbhotell kör PHP version < 6.0)