[PHP] Directory listing sicher machen - Ordner verbieten

[DeddyH]

Oder reguläre Ausdrücke, aber da kann ich nicht helfen.

[Luckie]

Also mit Explode den Pfad zerlegen und dann gucken, ob zum Beispiel "data" in dem resultierenden Array vorkommt?

[DeddyH]

Genauso dachte ich mir das.

[Luckie]

Gesagt, getan:

Code:

   // Verbotene Verzeichnisse umleiten auf Wurzelverzeichnis
   if ($path != "")
   {         
      $pathParts = explode("/", $path);
      foreach($forbiddenDirs as $dir)
      {                  
         if (in_array($dir, $pathParts))
         {
            header('Location: /');
            exit;
         }
      }
   }

Und funktioniert.

[DeddyH]

Bleibt nur noch Groß- und Kleinschreibung.

[Luckie]

Das ist kein Problem, da Pfade unter Linux casesensitiv sind. Und das Verzeichnis "Data" gibt es nicht, da rennt er dann in die nächste Überprüfung:

Code:

// Wenn Pfad nicht existiert, Pfad direkt aufrufen. Führt zu 404 Seite
   if ((!$path == "") && (!file_exists('.'.$path)))
   {
      header('Location: '.$path);
      exit;
   }

Es wird ein nicht existierender Pfad aufgerufen, welcher dann mein 404 Seite aufruft.

[DeddyH]

Und wenn Du zu einem Provider wechselst, der einen Windows-Server betreibt, hast Du eine Sicherheitslücke.

[Luckie]

Das werde ich zu vermeiden suchen. ;)

[DeddyH]

Es ist ja Deine Site. Zumindest wollte ich darauf hingewiesen haben ;)

[fkerber]

Hi!

Ich würde noch das zu bedenken geben:

zu schützendes Verzeichnis:
/data/

nicht zu schützendes Verzeichnis:
/public/data/


Wenn ich nicht irre, wird der Aufruf trotzdem verhindert.



Grüße, Frederic