[php] sicurezza con $_GET

salve,
usando il metodo GET quali pericoli si possono correre?
come fare per evitare questi pericoli ?
io uso questa cosa ( forse non efficace :roll:)

Codice PHP:

---

$pagina=$_GET['pagina'];
$possibili_pagine= array('pagina','pagina1','pagina2');
if(in_array($pagina,$possibili_pagine)){
$ok=true;}else{$ok=false;}
if($ok){echo"pagina esistente";}else{echo"pagina non esistente";}


---

avete consigli ?:roll:

grazie in anticipo

Come metodo il tuo è molto sicuro! Se la variabile che passi è un numero potresti anche forzare la stringa ad essere un numero..
Ad esempio:

Codice PHP:

---

$id = (int)$_GET['id'];


---

Se non viene inserito un numero $id vale 0.

Hai gia fatto un buon lavoro, usando in_array scongiuri ogni rischio di LFI :)
Consigli? Bhè, Non ho capito perchè fare due if che ritornano sicuramente lo stesso valore: prima verifichi che $pagina sia nell'array e assegni un valore booleano a $ok, poi controlli il valore di quest'ultima variabile :S
Ha poco senso, no?
Poi per evitare di portarti dietro tutto il blocco else puoi chiamare exit() nell'if :)

Codice PHP:

---

$pagina=$_GET['pagina'];
$possibili_pagine= array('pagina','pagina1','pagina2');

if(!in_array($pagina,$possibili_pagine))
exit('pagina non esistente');

// inizio codice da eseguire se $pagina è contenuto in $possibili_pagine


---

EDIT - @nokiagames: e il senso quale sarebbe? Tanto verifica che $_GET['id'], indipendentemente dal tipo, sia contenuta nell'array...

Ciao!

grazie :roll:
qualche altra dritta o va bene così ?

Citazione:

---

Originalmente inviato da babilonia6

grazie :roll:
qualche altra dritta o va bene così ?

---

Credo vada bene così pure io, io lo feci tempo fa, anche perchè io utilizzo alcune funzioni con cui dovrei stare attento, ma con questo metodo, di usare in_array() dovresti stare molto tranquillo :wink:

ok, speriamo bene :D

non per scoraggiarti, ma se uno vuole bucarti il sito, puoi mettere tutti i controlli che vuoi, ma se è uno in gamba lo fa (non dico deface, sarebbe un Accher (:lol:)), e ti spiegherà come evitare quel buco :wink:

beh si ovvio , però ho visto siti bucati a causa di link in get , tramite qualche shell (se non erro) e ho chiesto qui ..

Dipende anche da come è configurato il server, per esempio qui su Altervista l'include()di file esterni al sito dove si dovrebbe includere è bloccato, in poche parole puoi solo includere file locali :wink:

si avevo letto su qualche post qui :roll:
un'altra domandina , io passo delle info in get ( esempio: azione eseguita con successo) con urlencode() che poi metto nel link e lo stampo là dove serve , dovrei controllare anche quello ?

Ti basta secondo me solo usare htmlentities() sulla variabile che ricavi via get