<?xml version="1.0" encoding="UTF-8"?>
<rss version="2.0"
	xmlns:content="http://purl.org/rss/1.0/modules/content/"
	xmlns:wfw="http://wellformedweb.org/CommentAPI/"
	xmlns:dc="http://purl.org/dc/elements/1.1/"
	xmlns:atom="http://www.w3.org/2005/Atom"
	xmlns:sy="http://purl.org/rss/1.0/modules/syndication/"
	xmlns:slash="http://purl.org/rss/1.0/modules/slash/"
	>

<channel>
	<title>infogurke.de &#187; security</title>
	<atom:link href="http://www.infogurke.de/tag/security/feed/" rel="self" type="application/rss+xml" />
	<link>http://www.infogurke.de</link>
	<description>Der Informant aus dem Netz</description>
	<lastBuildDate>Wed, 14 Jul 2010 20:16:38 +0000</lastBuildDate>
	<language>en</language>
	<sy:updatePeriod>hourly</sy:updatePeriod>
	<sy:updateFrequency>1</sy:updateFrequency>
	<generator>http://wordpress.org/?v=3.0.1</generator>
		<item>
		<title>Never trust user input &#8211; PHP Fehler Nr. 1</title>
		<link>http://www.infogurke.de/2009/02/never-trust-user-input-php-fehler-nr-1/</link>
		<comments>http://www.infogurke.de/2009/02/never-trust-user-input-php-fehler-nr-1/#comments</comments>
		<pubDate>Thu, 05 Feb 2009 20:19:03 +0000</pubDate>
		<dc:creator>infogurke</dc:creator>
				<category><![CDATA[PHP]]></category>
		<category><![CDATA[remote file inclusion]]></category>
		<category><![CDATA[security]]></category>

		<guid isPermaLink="false">http://www.infogurke.de/?p=293</guid>
		<description><![CDATA[&#60;?php readfile(ROOT_DIR . "/" . $_GET["file"]); ?&#62; Wer kennt diese Zeilen nicht? Jeder der sich einmal mit PHP besch&#228;ftigt hat wird bei diesen Zeile schnell aufmerksam. Meistens findet man diese drei Zeilen in einer download.php, navigation.php oder image.php. In der Website steht dann &#60;a href="/download.php?file=/files/antrag-02-2009.pdf"&#62;Antrag Februar 2009&#60;/a&#62; oder als Bild &#60;img src="/img.php?file=/images/thumbnails/01.jpg" /&#62;. Doch der [...]]]></description>
			<content:encoded><![CDATA[&lt;?php
readfile(ROOT_DIR . "/" . $_GET["file"]);
?&gt;


Wer kennt diese Zeilen nicht? Jeder der sich einmal mit PHP besch&#228;ftigt hat wird bei diesen Zeile schnell aufmerksam. Meistens findet man diese drei Zeilen in einer download.php, navigation.php oder image.php.

In der Website steht dann &lt;a href="/download.php?file=/files/antrag-02-2009.pdf"&gt;Antrag Februar 2009&lt;/a&gt; oder als Bild &lt;img src="/img.php?file=/images/thumbnails/01.jpg" /&gt;.

Doch der Programmier hat hier eine der wichtigsten Regeln nicht beachtet:

Never trust user input

Jede Benutzereingabe ist evil und muss &#252;berpr&#252;ft werden. Wenn man solche Scripte in freie <a href="http://www.infogurke.de/2009/02/never-trust-user-input-php-fehler-nr-1/">[...]</a>]]></content:encoded>
			<wfw:commentRss>http://www.infogurke.de/2009/02/never-trust-user-input-php-fehler-nr-1/feed/</wfw:commentRss>
		<slash:comments>3</slash:comments>
		</item>
	</channel>
</rss>
