SECURITÉ PROTECTION AUTOMATIQUE CONTRE MAGICQUOTE ET REGISTER_GLOBALS

Commentaire de neigedhiver le 28/03/2008 13:37:55

Salut,

L'idée est bonne.

Cependant, au lieu d'utiliser des boucles while pas vraiment optimisées, tu devrais plutôt utiliser array_walk() : une fonction native, donc écrite en C, sera forcément plus performante que des boucles en PHP.
Et puis... au lieu d'une boucle pour supprimer toutes les clés de $GLOBALS, pourquoi ne pas, tout simplement redéfinir $GLOBALS ?
$GLOBALS = array();
Le résultat ne serait-il pas le même ?
D'un coup, je me demande : le résultat de la directive register_globals est surtout de créer des variables portant le nom des clés des tableaux $_GET, $_POST, $_COOKIE.
Je pense qu'il faut donc surtout détruire ces variables :

Par exemple, http://www.mondomaine.tld/index.php?argument=valeur&truc=bidule

Avec register_globals à on, PHP va automatiquement créer les deux variables :
- $argument dont la valeur est 'valeur'
- $truc dont la valeur est 'bidule'

Ce sont ces variables qu'il faut détruire avant l'exécution du script.

Le tableau $GLOBALS permet d'accéder aux variables définies dans le contexte global depuis un contexte protégé (fonction, classe, etc) : ce n'est pas là que réside le manque de sécurité...

Pour comparer la version, tu peux utiliser version_compare() qui sert à ça.

Commentaire de codefalse le 28/03/2008 15:10:55 administrateur CS

De plus j'ajouterai que tu peux en profiter pour obliger un meilleur usage du code, par exemple supprimer $HTTP_COOKIE_VARS et les autres du même type, afin de forcer l'utilisateur à utiliser $_COOKIE, $_GET, etc

Apres pour pousser le vice, ce qui serait tip top, ce serait une fonction ou tu lui dit la valeur que tu veux, quel genre (get, post, cookie), quel type (int, bool, etc) et optionnellement uen valeur par défaut, genre :

tonurl.php?exemple1=salut

dans ton code :

$mavar = getVar ('get', 'exemple1', 'string', 'valeurvide');
// Comme ca $mavar aura "salut" si salut existe et est un bien un string. et parsé s'il le faut
Tu peux aussi pousser encore plus en proposant des expreg à la place du typage, etc

Mais bon ca obligerai à modifier tout un code qui existe déjà !

Commentaire de malalam le 28/03/2008 19:05:57 administrateur CS

Hello,

la "protection" contre register_globals à on ne sert strictement à rien, là.
$_GLOBALS et register_globals n'ont aucun rapport.
Avec ce code, si register_globals est à on, et que j'ai une variable $_GET['toto'], si je fais echo $toto, cela marchera très bien. Ce qui ne marchera plus, c'est de faire echo $_GLOBALS['toto'].

De plus, une protection contre cette configuration de php.ini est inutile. Pourquoi ? Parce que ce n'est pas la configuration en elle-même qui va vraiment poser problème, c'est d'utiliser ses possibilités dans les codes.
Si on a register_globals à on, et que l'on utilise les bons tableaux $_POST, $_GET etc...on n'aura aucun soucis. Si tant est que l'on ait pris la bonne habitude de ne jamais utiliser à la fois $_GET['toto'] et une variable "normale" s'appelant aussi $toto. Cela permet de se prémunir contre toute attaque XSS ciblant les requêtes GET ou POST, quelle que soit la configuration de php.
Bref, dans tous les cas, le problème viendra du code, pas de la configuration.

Quant à get_magic_quotes_gpc(), le code existe depuis très longtemps sur ce site, en fait. Et ça tient plus du snippet (donc de codyx.org) que du code source, à mon avis. Et puis il y a des oublis dans le conception de ton code : $HTTP_POST_VARS, $HTTP_GET_VARS...

Commentaire de malalam le 29/03/2008 11:43:05 administrateur CS

Il suffit de troquer array_walk pour array_walk_recursive.

Commentaire de TheWeasel47 le 29/03/2008 20:09:59

Yes alors je note :
-array_walk() récursif
-register global à modifier

Par contre coucou747 je ne comprends pas ta remarque.

Pour ce qui est de l'utilisation du code, simplement. Tout le monde à débuter en php et tout le monde a codé (avec du code pourris)  des applications web qui tournent encore, donc ce genre de fichier permettent de "protéger" ces applications sans tout avoir à re-coder.
Merci des commentaires.
TheWeasel47