Security issue bij filemanagers.php

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

Rob-E

Rob-E

15/02/2006 23:48:00
Quote Anchor link
Hallo,

Ik heb als hobby een server draaien met daarop wat websites van vrienden.
Nou heeft 1 van mijn vrienden ontdekt dat je met een filemanager.php in combinatie met een openfile.php bestand directory's en php files kan uitlezen zoals bijv een config.php file.

Bijv:

User a heeft een account dus zit hij op d:\www\a
hij upload de filemanager.php en openfile.php.
Vervolgens opend hij http://mijnserver/a/filemanager.php en gaat 1 directory terug...hij ziet dan mijn www root :s
Hij kan dan naar bijv. phpbb2/admin gaan en de config.php uitlezen.

Is hier een oplossing voor?

Een htaccess bestand is niet genoeg heb ik gelezen.
Ik ben hier zeker al 3 week mee bezig en ik kan het niet vinden. PS: ik draai apache 2 en php5 op een windows server.

Dit is de filemanager:

Code (php)
PHP script in nieuw venster Selecteer het PHP script
1
2
3
4
5
6
7
8
9
10
11
<?php
$pad = "/"; //the directory path
  
$dir_handel = @opendir($pad) or die("The directory cann't be opend..");
echo "The content of your directory<br/>";
  
while ($file = readdir($dir_handel)) {
        echo "<a href=$file>$file</a><br/>";
}
closedir($dir_handel);
?>


Groet,

Robert
Gewijzigd op 16/02/2006 00:17:00 door Rob-E
 
PHP hulp

PHP hulp

29/01/2025 08:15:32
 
Rob-E

Rob-E

17/02/2006 13:29:00
Quote Anchor link
Jongens bedankt maar ik ben er uit.

Het werkt nu veilig.

Men krijgt nu 403 forbidden als men deactie uitvoert.
 
Martijn Wieringa

Martijn Wieringa

17/02/2006 13:35:00
Quote Anchor link
Als je verteld hoe het je gelukt is, kunnen anderen d'r ook wat van leren? (:

Ik weet dat het inschakelen van de 'SAFE_MODE' op de server gegarandeerd werkt.. dit is echter niet altijd wenselijk
 



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.