Cookies med register globals off

Tags:    php

Vi har lige lagt vores site over på et nyt webhotel hvor register globals er sat til "off", i modsætning til vores gamle site hvor register globals var sat til "on".

Dette havde den kedelige indvirkning at variable fra forms skulle tilgås på en ny måde, dette fandt vi relativt hurtigt ud af hvordan man skulle klare.

Vores logon funktion på sitet anvender cookies. Dette sker med en funktion der ser således ud:

function skriv_cookie($bruger,$password,$tid){
setcookie("auto","ja",$tid);
setcookie("logon","ja",$tid);
setcookie("bruger",$bruger,$tid);
setcookie("password",$passwd,$tid);

Spørgsmålet er nu hvorfor dette ikke længere virker og evt. om dette skyldes at register globals er slået fra eller om dette kan skyldes forskelle i andre af php's indstillinger. Jeg vil også gerne vide lidt om hvorfor det er smart at sætte register globals til off.

Udviklerpointene giver jeg til det første svar der gør at vi igen kan anvende cookies på vores site.



4 svar postet i denne tråd vises herunder
3 indlæg har modtaget i alt 5 karma
Sorter efter stemmer Sorter efter dato
Grunden til at det er smart at sætte register_globals til off er, at man lukker et potentielt sikkerhedshul i PHP...

Hvis PHP er sat forkert op vil en ondsindet "hacker" kunne overskrive ens miljø (enviroment) variable. Ved at deaktivere register_globals adskilles variablene post, get, env, osv.

Man kunne eksempelvis forsøge at manipulere med $PHP_SELF og lave en GET variabel af samme navn... hvis ens variable så initialiseres i en forkert rækkefølge indeholder $PHP_SELF værdien læst fra $_GET og ikke $_SERVER.´

Man kan selvfølgelig altid tilgå den korrekte variable via. $_SERVER['PHP_SELF'] og du kan da også bare lave din egen register globals funktion, hvis din udbyder nægter at aktivere indstillingen.



Hvor du tidligere kunne hente cookie variabler ved hjælp af $auto, $logon osv, skal du nu ændre det til $_COOKIE['auto'] og $_COOKIE['logon']. Så simpelt er det :)

\\/ XyborX
/\\ www.xyborx.dk



register globals har (så vidt jeg ved) ikke inflydelse på når du gemmer cookies.. men derimod når du henter dem igen.

Lad os se den kode du henter dem med :)



Jeg tror det er noget med tiden på serveren...So hold your horses, så prøver jeg lige at snakke med min udbyder og ser om det løser problemet.



t