Posotaz
502Messages postés
23 juin 2007Date d'inscription
19 juin 2011Dernière intervention
12 août 2007 à 16:18
Pour la petite histoire générale, que tout le monde sache bien de quoi on parle, il existe un tas de failles de sécurité en PHP. On connait les failles d'injection (à l'aide d'un formulaire on peut injecter une requête SQL, du fait que le script PHP va concaténer ça bêtement plutôt que de s'attendre à recevoir une simple valeur et éliminer tout le reste) mais on en a plein d'autres, dont une fort connue appelée "faille include".
Include est avant tout une instruction qui permet d'inclure (donc d'insérer) un bout de code dans la page actuelle depuis un autre fichier (je parle de code mais ce n'est que du texte, on peut inclure n'importe quoi comme texte en théorie, dont du code PHP).
Le problème c'est que dans un premier temps, on pouvait inclure des ressources venant de n'importe où sur Internet. Ce qui permet en fait d'injecter un code malsain sur sa propre page. En fait il est bon de savoir que si on ne sait pas accéder à une ressource sur un serveur distant (par exemple parce qu'on a protégé un répertoire avec un .htaccess ou que sais-je), le script sur le serveur, lui, peut accéder à tout ce qu'il veut. Le script serveur mais également le code inclus (donc injecté innocentement) par un vilain méchant de façon tout à fait naturelle. A partir de là il prend un grand contôle du serveur... tout ce que le PHP est capable de faire en local, le script externe inclus pourra le faire puisqu'ils ne font plus qu'un.
L'intérêt d'inclure un fichier venant d'Internet était par exemple de pouvoir utiliser un package de fonctions déjà toutes faites, c'est pour ça que ça avait été mis en oeuvre. PHP5 n'autorise plus ceci par défaut. Donc là chacun est obligé (ou plutôt conseillé) de télécharger tout package en local sur son serveur.
Mais comme notre ami Fab va s'en rendre compte, la faille include est à double tranchant, avec moins bien d'efforts qu'il ne l'imagine il va pouvoir remonter d'un répertoire (alors que normalement on ne sait pas y accéder en indiquant directement l'URL) justement au travers de cette faille include.
En effet l'utilisateur peut modifier l'URL, y écrire tout ce qu'il désire, par conséquent ne mettez donc pas de variables dans vos include.