В php
шаблоне прописан следующий код:
function langs($a) {
$type_lang = $_GET['lang'];
eval(file_get_contents("system/langs/$type_lang.txt"));
return $worlds[$a];
}
Может он быть опасен чем-либо?
Stack Overflow на русском — это сайт вопросов и ответов для программистов. Присоединяйтесь! Регистрация займёт не больше минуты.
Присоединиться к сообществуВ php
шаблоне прописан следующий код:
function langs($a) {
$type_lang = $_GET['lang'];
eval(file_get_contents("system/langs/$type_lang.txt"));
return $worlds[$a];
}
Может он быть опасен чем-либо?
Может. Если злодей в курсе устройства, и может как-то загрузить текстовый файл на сервер, пусть, в другую папку, то вызовом shablon.php?lang=../../uploads/evil.txt
выполниться его код.
eval()
для загрузки языковых строк — не самое лучшее решение.
А уверены ли вы, что в вашей системе нету и никогда не появится дырок позволяющих что то написать в этот самый $type_lang.txt?
Если это произойдет, ваш скрипт тут же превратится в шелл.
Вывод: eval безопасен только со статичным кодом внутри
$type_lang
состоит только из букв и цифр.