Sécurisation des INCLUDE [La Bible de NPDS]

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
====== Sécurisation des INCLUDE ======
===== Core module =====
**Script lancé par modules.php (dans notre exemple : index.php )**. Au début de chaque fichier PHP (après le cartouche de commentaires décrivant le module, licence, ...) il est nécessaire de rajouter :

**Versions actuelles**
<code php>
// For More security
if (!stristr($_SERVER['PHP_SELF'],"modules.php"))
   die();
if (strstr($ModPath,'..') || strstr($ModStart,'..') || stristr($ModPath, 'script') || stristr($ModPath, 'cookie') || stristr($ModPath, 'iframe') || stristr($ModPath, 'applet') || stristr($ModPath, 'object') || stristr($ModPath, 'meta') || stristr($ModStart, 'script') || stristr($ModStart, 'cookie') || stristr($ModStart, 'iframe') || stristr($ModStart, 'applet') || stristr($ModStart, 'object') || stristr($ModStart, 'meta'))
   die();
// For More security
</code>
**Versions anciennes**
<code php>
// For More security
if (!eregi("modules.php", $PHP_SELF)) { die(); }
if (strstr($ModPath,"..") || strstr($ModStart,"..") || stristr($ModPath, "script") || stristr($ModPath,
"cookie") || stristr($ModPath, "iframe") || stristr($ModPath, "applet") || stristr($ModPath, "object") ||
stristr($ModPath, "meta") || stristr($ModStart, "script") || stristr($ModStart, "cookie") ||
stristr($ModStart, "iframe") || stristr($ModStart, "applet") || stristr($ModStart, "object") ||
stristr($ModStart, "meta")) {
die();
}
// For More security
// Retro compatibilité SABLE
if (!function_exists("sql_connect")) {
include ("modules/$ModPath/retro-compat/mysql.php");
}
// Retro compatibilité SABLE
</code>

===== Admin module =====

**Script lancé par admin.php (dans notre exemple : admin/adm.php )**. Au début de chaque fichier PHP (après le cartouche de commentaires décrivant le module, licence, ...) il est nécessaire de rajouter :

**Versions actuelles**
<code php>
// For More security
if (!function_exists('admindroits'))
   include($_SERVER['DOCUMENT_ROOT'].'/admin/die.php');
if (strstr($ModPath,'..') || strstr($ModStart,'..') || stristr($ModPath, 'script') || stristr($ModPath, 'cookie') || stristr($ModPath, 'iframe') || stristr($ModPath, 'applet') || stristr($ModPath, 'object') || stristr($ModPath, 'meta') || stristr($ModStart, 'script') || stristr($ModStart, 'cookie') || stristr($ModStart, 'iframe') || stristr($ModStart, 'applet') || stristr($ModStart, 'object') || stristr($ModStart, 'meta'))
   die();
// For More security
</code>
**Versions anciennes**
<code php>// For More security
if (!eregi("admin.php", $PHP_SELF)) { die(); }
if (strstr($ModPath,"..") || strstr($ModStart,"..") || stristr($ModPath, "script") || stristr($ModPath,
"cookie") || stristr($ModPath, "iframe") || stristr($ModPath, "applet") || stristr($ModPath, "object") ||
stristr($ModPath, "meta") || stristr($ModStart, "script") || stristr($ModStart, "cookie") ||
stristr($ModStart, "iframe") || stristr($ModStart, "applet") || stristr($ModStart, "object") ||
stristr($ModStart, "meta")) {
die();
}
// For More security
// Retro compatibilité SABLE
if (!function_exists("sql_connect")) {
include ("modules/$ModPath/retro-compat/mysql.php");
}
// Retro compatibilité SABLE''
</code>

===== Bloc module =====
**Script servant à la réalisation d’un BLOC NPDS (dans notre exemple : monbloc.php)**. Au début de chaque fichier PHP (après le cartouche de commentaires décrivant le module, licence, ...) il est nécessaire de rajouter :

**Versions actuelles**
<code php>
if (stristr($_SERVER['PHP_SELF'],'monbloc.php')) die();
</code>
**Versions anciennes**
<code php>
// For More security
if (!function_exists("Mysql_Connection")) {
die();
}
// For More security
// Retro compatibilité SABLE
if (!function_exists("sql_connect")) {
include ("modules/$ModPath/retro-compat/mysql.php");
}
// Retro compatibilité SABLE
</code>

<note important>Plus généralement tous fichier PHP contenu dans un module (à l’exclusion d’un fichier de paramétrage, d’installation) contenant l’utilisation de
variables globales de NPDS (par exemple $ModStart, $ModPath, $language, …) doit être sécurisé !</note>