Foro de elhacker.net

Programación => PHP => Mensaje iniciado por: gAb1 en 24 Septiembre 2014, 13:16 pm


Título: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 24 Septiembre 2014, 13:16 pm
Hola, me gustaría saber cual es la manera mas segura de crear enlaces seguros para las paginas de mi sitio web.

Acaba de leer un pequeño tutorial donde aparece un codigo con el que se supone que no será facil hackear la web, pero es del año 2006 y tengo dudas por si ya no es tan seguro como lo era antes... Aqui esta el link: Safe Dynamic Includes (http://www.jemjabella.co.uk/2006/safe-dynamic-includes/)

Tambien he visto otra manera: Safe Dynamic Includes (http://wiki.hashphp.org/Safe_Dynamic_Includes), pero tampoco se si hay otras maneras mas seguras para crear los links de una pagina a otra.

Lo normal es las paginas suele ser

Código
  1. <a href="index.php?x=pagename">Link</a>

Pero al parecer cambiando la variable de sesion por otra, el link puede ser de otra manera:

Código
  1. $_GET['x']; -> $_SERVER['QUERY_STRING'];

Código
  1. <a href="index.php?pagename">Link</a>

¿Podriais confirmar que maneras son más seguras?

Gracias!

Título: Re: crear enlaces seguros para las paginas php
Publicado por: engel lex en 24 Septiembre 2014, 19:30 pm
yo uso "tablas de rutas"

es decir, una db que contenga 2 campos, "link" y "ruta", entonces al llamar, busco en la db si algún valor coincide con el recibido, si coincide, se hace un include con la ruta devuelta, eso te sirve incluso al grado que la pagina "producto" puede ser "pagina_de_fondo.php"

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 24 Septiembre 2014, 19:45 pm
¿Enlaces seguros? Las rutas son tan seguras como el código que ejecuta esa ruta en especifico. Es importante 'limpiar' todo input humano o te arriegas a un XSS, RFI o algo peor.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: WHK en 24 Septiembre 2014, 20:07 pm
Es facil... solo debes hacer un array con todas las posibles rutas y luego hacer la comparación con tu parámetro get, si existe la incluyes y si no existe das un 404, de esa manera te aseguras que solamente las rutas reales van a ser solicitadas y nada de cosas extrañas con rutas extrañas.

Por ejemplo:

Código
  1. <?php
  2.  
  3. if(in_array('includes/'.(string)$_GET['sección'].'.php', glob('includes/*.php')))
  4. 	include('includes/'.(string)$_GET['sección'].'.php');
  5. else
  6. 	include('includes/404.php');
  7.  

El cast (string) es para que no te de una excepción si te pasan arrays como parámetros.

También puedes aceptar directorios como lo hace wordpress cuando puedes poner un plugin como plugin.php o una carpeta llamada plugin y un index:

Código
  1. <?php
  2.  
  3. /* Es archivo */
  4. if(in_array('includes/'.$_GET['sección'].'.php', glob('includes/*.php')))
  5. 	include('includes/'.$_GET['sección'].'.php');
  6.  
  7. /* Es directorio */
  8. elseif(in_array('includes/'.$_GET['sección'].'/index.php', glob('includes/*/index.php')))
  9. 	include('includes/'.$_GET['sección'].'/index.php');
  10.  
  11. /* No existe */
  12. else
  13. 	include('includes/404.php');
  14.  

Ahora, si usas file_exists() o is_dir() tendrás que tener cuidado con los agujeros de tipo LFI o RFI, usar esas fuinciones para incluir archivos es muy mala práctica.

Según el blog de donde das en enlace ( http://www.jemjabella.co.uk/2006/safe-dynamic-includes/ ) dice que se debe hacer así:

Código
  1. if (strpos($_GET['x'], "/")) {
  2.       $dir = substr(str_replace('..', '', $_GET['x']), 0, strpos($_GET['x'], "/")) . "/";

Es una malisima práctica, muchos sistemas han sido programados de esa manera y estan llenos de agujeros de seguridad como unos mods y plugins para phpnuke, joomla y wordpress, por ejemplo esto sería vulnerable en base a ese código:

index.php?x=.htpasswd

a demás strpos() solo te indica la primera coincidencia, o sea que yo podría escribir algo//algo y bypasear el filtro, insertar carácteres nulos para cortar el include con un %00, etc etc.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 24 Septiembre 2014, 21:15 pm
Gracias por las respuestas.

Eso de la tabla de rutas que comenta engel lex es interesante, es algo parecido a lo que comenta WHK, las "whitelist".

Pero en el ejemplo que has puesto, ¿asi tal cual sería seguro? sin hacer un preg_replace o str_replace? Y lo que dice MinusFour, lo de limpiar los input, tiene algo que ver tambien con sanitizar?

Me gustaría algo para no tener que mostrar la ruta, simplemente un nombre, poniendo la ruta en el script.

Por ejemplo si quiero llamar al archivo: register.php dentro de 'views/user/'

Y el link quedase: index.php?register ¿O esto no es seguro?

Pero no se si seria un problema para mostrar el contenido, lo que quiero hacer tambien y no se si hay otra manera mejor, es tener un layout con header (header+menu) y footer, y en medio haciendo un echo content(); para cargar el contenido de los views y no tener que cambiar nada del layout en todas las paginas de contenido. El index.php cargaría el layout y el layout cargaria los views.

¿Hay algún problema para hacer eso? Supongo que hara falta crear una funcion para cargar el contenido.

Gracias!

Título: Re: crear enlaces seguros para las paginas php
Publicado por: WHK en 24 Septiembre 2014, 22:24 pm
Cita de: gAb1 en 24 Septiembre 2014, 21:15 pm
Pero en el ejemplo que has puesto, ¿asi tal cual sería seguro? sin hacer un preg_replace o str_replace? Y lo que dice MinusFour, lo de limpiar los input, tiene algo que ver tambien con sanitizar?

Así es, es un método muy seguro, no te tienes que estar preocupando de tener que modificar tu código o base de datos cada ves que agregas secciones nuevas porque se verifican automáticamente en cada carga.

no necesitas un replace ni un limpiado de rutas ni nada de eso, es como si estuvieras intentando tapar el sol con un dedo, son técnicas que no siempre funcionan y son por decirlo muy absurdas, generalmente se ven en códigos hechos por menores de edad o personas que recién están aprendiendo a programar. Es similar a lo que antiguamente muchos hacían... ponerle safe mode en on para supuestamente proteger los servidores, muchos lo hacían pero al final no servía de mucho.

Lo de limpiar inputs es una pesima práctica, es como tratar de enumerar todas las posibles maneras que existen de como robar una casa, siempre habrá alguien que encuentre una manera nueva de entrar, en ves de eso haz una casa normal con seguros en las puertas y listo.

Por lo general debido a personas que piensan que limpiando inputs van a solucionar los problemas de seguridad es porque hoy en día hay tantos sitios expuestos a vulnerabilidades. Puede servir para intentar prevenir algunos tipos de ataques basicos pero jamas para detener todo lo que existe, en este caso limpiar inputs para prevenir el lfi o el rfi es un tema demasiado extenso y complejo si no quieres usar listas blancas, ya existen muchos sistemas que llevan años intentando solucionar este problema en base a filtros tales como phpnuke y algunos sistemas en .NET, por esocorta por lo sano y haz una lista blanca, es rápido y ultra seguro, todos los inputs que no contengan una url real serán rechazadas aunque sean rutas validas, es lo mas sano.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 24 Septiembre 2014, 23:01 pm
Te estas llendo por las ramas WHK.

Filtrar texto si puede ser una mala práctica, pero cuando yo dije 'limpiar' (y lo puse entre comillas por una buena razón, porque no es exactamente limpiar) no me estaba refiriendo a filtrar el texto (que esto bien puede ser una mala forma de 'limpiar' input). Al decir yo limpiar, me estoy refiriendo a someter el input a un proceso que no permita una anomalía en la ejecución del código. Y 'limpiar' si que es una buena práctica.

Tampoco tienes que generalizar, filtrar texto se sigue haciendo. No como medida de seguridad pero si se sigue usando para los inputs.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 25 Septiembre 2014, 00:14 am
Gracias, acaba de armar algo y parece funcionar correcto, ¿veis algo mal? ¿es seguro?

index.php
Código
  1. <?php
  2.  
  3. include_once 'themes/default/views/layouts/main.php';
  4.  
  5. $whitelist_home		= array("home");
  6. $whitelist_site		= array("site/login", "site/logout", "site/contact", "site/about");
  7. $whitelist_user		= array("user/register", "user/referral", "user/friend", "user/register_success");
  8.  
  9. if(in_array($_SERVER['QUERY_STRING'], $whitelist_home)) {
  10. 	if(in_array('views/'.(string)$_SERVER['QUERY_STRING'].'.php', glob('views/*.php'))) {
  11. 	$home = include('views/'.(string)$_SERVER['QUERY_STRING'].'.php');
  12. 	} else include('views/404.php');
  13. } elseif(in_array($_SERVER['QUERY_STRING'], $whitelist_site)) {
  14. 	if(in_array('views/'.(string)$_SERVER['QUERY_STRING'].'.php', glob('views/site/*.php'))) {
  15. 	$content = include('views/'.(string)$_SERVER['QUERY_STRING'].'.php');
  16. 	} else include('views/404.php');
  17. } elseif(in_array($_SERVER['QUERY_STRING'], $whitelist_user)) {
  18. 	if(in_array('views/'.(string)$_SERVER['QUERY_STRING'].'.php', glob('views/user/*.php'))) {
  19. 	$content = include('views/'.(string)$_SERVER['QUERY_STRING'].'.php');
  20. 	} else include('views/404.php');
  21. }
  22.  
  23. if(!$_SERVER['QUERY_STRING']) {
  24. 	echo $home = include('views/home.php'); // Esta es la pagina que se muestra por defecto
  25. }
  26.  
  27. if($_SERVER['QUERY_STRING'] == "home") {
  28. 	echo $home;
  29. }elseif(in_array($_SERVER['QUERY_STRING'], $whitelist_site)) {
  30. 	echo $content;
  31. }elseif(in_array($_SERVER['QUERY_STRING'], $whitelist_user)) {
  32. 	echo $content;
  34.  
  35. ?>

¿Hay algún problema si utilizo ese include_once (lo que uso actualmente para incluir paginas como functions.php) sin ningún if ni nada para mostrar una pagina (que es la base de la web) en el index.php?

Por alguna misteriosa razón justo despues del texto de home.php se añade un 1 sin espacio... ¿Que esta imprimiendo ese 1?

Aparte de que ese script de echos hay que mejorarlo, tiene que ir en el archivo main.php y cuando los he puesto han empezado los errores de variable no definida. Todo son problemas :)

Gracias!

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 25 Septiembre 2014, 05:19 am
Include devuelve 1 si la la inclusión es exitosa, si le haces echo a un include exitosa, este imprime 1. A menos que dentro de tus includes tengas un return, en ese caso el echo toma el valor del return.

El código de WHK está bien para validar todos los archivos de las carpetas. Si vas a trabajar con solo algunos archivos creo que es mejor si tienes una lista para tus includes.

e.g.

Código
  1. <?php
  2.  
  3. $views = 'views/';
  4. $site = $views . 'site/';
  5. $user = $views . 'user/';
  6.  
  7. $includes = array(
  8. 	'home' => $views . 'home.php',
  9. 	'site/login' => $site . 'login.php',
  10. 	'site/logout' => $site . 'logout.php',
  11. 	'site/contact' => $site . 'contact.php',
  12. 	'site/about' => $site . 'about.php',
  13. 	'user/register' => $user . 'register.php',
  14. 	'user/referral' => $user . 'referral.php',
  15. 	'user/friend' => $user. 'friend.php',
  16. 	'user/register_success' => $user . 'register_success.php'
  17. );
  18.  
  19. if(array_key_exists($_SERVER['QUERY_STRING'], $includes)){
  20. 	include($includes[$_SERVER['QUERY_STRING']]);
  21. }
  22. ?>

Título: Re: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 25 Septiembre 2014, 12:47 pm
Necesito saber como darle un valor por defecto a la variable server, si lo hago asi no lee ningun input y siempre se muestra home...
index.php
Código
  1. <?php
  2.  
  3. include_once 'themes/default/views/layouts/main.php';
  4.  
  5. $views = 'views/';
  6. $site = $views . 'site/';
  7. $user = $views . 'user/';
  8.  
  9. $_SERVER['QUERY_STRING'] = 'home'; // Alguna otra manera?
  10.  
  11. $includes = array(
  12. 	'home' => $views . 'home.php',
  13. 	'site/login' => $site . 'login.php',
  14. 	'site/logout' => $site . 'logout.php',
  15. 	'site/contact' => $site . 'contact.php',
  16. 	'site/about' => $site . 'about.php.php',
  17. 	'user/register' => $user . 'register.php',
  18. 	'user/referral' => $user . 'referral.php',
  19. 	'user/friend' => $user. 'friend.php',
  20. 	'user/register_success' => $user . 'register_success.php'
  21. );
  22.  
  23. if(array_key_exists($_SERVER['QUERY_STRING'], $includes)) {
  24. 	$content = include($includes[$_SERVER['QUERY_STRING']]);
  25. 	return true;
  26. } else include('views/404.php');
  27.  
  28. // Esto va en themes/default/views/layouts/main.php
  29. /*
  30. if(array_key_exists($_SERVER['QUERY_STRING'], $includes)) {
  31. 	echo $content;
  32. }else print_r(error_get_last());
  33. */
  34. ?>

Ahora mismo, sin ningun echo $content se muestra igualmente el include, ¿por que?
¿Como hago para que no se muestre ningún include si no hay un echo?

Gracias.

Edito: Y a todo esto... si necesito hacer inputs en esas paginas, por ejemplo, antes era: login.php?error=1 y ahora como seria? porque ?site/login&error=1 no funciona

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 25 Septiembre 2014, 17:22 pm
Si hay funciones que impriman dentro de tus includes pues entonces esas funciones se van a ejecutar, porque así funcionan los includes().

Código
  1. $content = include($file);

Se ejecuta $file y $content equivale 1.

Ahora si $file tiene:

Código
  1. $html = '<HTML></HTML>';
  2. return $html;

$content ahora tiene <HTML></HTML>.

En cuanto a porque tus rutas no funcionan, es porque estás usando $_SERVER['QUERY_STRING']...

Si tienes:
Citar
index.php?site/login&error=1

Código
  1. $_SERVER['QUERY_STRING'];
  2. //site/login&error=1 != site/login

Y no hace el include en site/login porque no hace match... $_SERVER['QUERY_STRING'] != site/login.

Puedes hacer:

Código
  1. preg_match('/^([\w\/]+)=?(\w+)?&?/', $_SERVER['QUERY_STRING'], $matches);
  2.  
  3. if(array_key_exists($matches[0], $includes)){

Debería hacer un match de la primera palabra en QUERY_STRING. Lo mejor sería manejar las variables GET por llave/valor.

Por ejemplo una url como:

Citar
index.php?do=home

Y en lugar de manejar $_SERVER['QUERY_STRING'] manejar $_GET['do'].

Yo digo que sería mejor tener una URL como:

Código:
http://sitio.com/site/login

En lugar de:

Código:
http://sitio.com/archivo.php?site/login

o

Código:
http://sitio.com/archivo.php?do=site/login

Y para eso puedes implementar un ruteador mejor y tener mas control sobre las urls, aunque tambien una simple regla de mod_rewrite basta.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 25 Septiembre 2014, 19:37 pm
Citar
Yo digo que sería mejor tener una URL como:

Código:
http://sitio.com/site/login

Esa era la idea en un principio, ahora mismo lo mas cercano a eso que tengo es:

Código:
www.sitio.com/?site/login

Y me gustaría poder hacer eso que comentas... ¿Podrias decirme como podria hacerlo con el mod_rewrite? Ya tengo un .htaccess preparado :)

Pero volviendo al otro problema, es posible hacer que el codigo actual solo lea hasta & y apartir se interprete como otra variable? Para poder hacer que funcione ?site/login&error=1

Gracias!

Título: Re: crear enlaces seguros para las paginas php
Publicado por: WHK en 25 Septiembre 2014, 19:46 pm
Has considerado usar codeigniter?, o sea, si tu duda era solamente hacer un include seguro ya sabes, la lista blanca funciona de lujo pero si vas a hacer un sistema completo en base a ese tipo de inclusiones y códigos redundantes mejor usa uno estandarizado como codeigniter el cual lleva muchos años en el mismo tema, no necesitas reinventar la rueda, puedes tomarlo y ver el código fuente para saber como lo hacen y reutilizar el mismo código.

Si quieres te puedo mostrar un trozo de código de mi framework que hice hace muchos años el cual funciona con includes muy similar al tuyo pero es un poco mas flexible, por ejemplo puedes llamar a
/modulo/submodulo/accion.html?parametros=
y se incluye el archivo correspondiente a cada módulo y submódulo, es mas, soporta multiples niveles, puedes llamar a 5 submodulos si quieres una dentro de otra carpeta y todo en base a una lista blanca para prevenir problemas de seguridad, dale un vistazo para que saques algunas ideas:

Código
  1. <?php
  2. /* CORE - FDC 4.5 - yan.uniko.102@gmail.com, 2009 */
  3. /* Verifica que el archivo no se visualize de forma directa */
  4. if($_SERVER['SCRIPT_FILENAME'] == __file__) exit;
  5.  
  6. $sistema = new sistema();
  7.  
  8. class sistema{
  9. 	var $navegador				= null;
  10. 	var $modulosSeleccionables 	= null;
  11. 	var $contenidoHtml			= '';
  12.  
  13. 	function __construct(){
  14. 		/* Carga las configuraciones iniciales */
  15. 		include(dirname(__file__).'/configuraciones.php');
  16. 		$this->conf	= new configuraciones();
  17.  
  18. 		/* Verifica coherencias en las configuraciones */
  19. 		if(
  20. 			isset($this->conf->perfilamiento['habilitado']) and
  21. 			$this->conf->perfilamiento['habilitado']
  22. 		){
  23.  
  24. 			/* La clase de usuario no funciona sin una base de datos activa */
  25. 			if(
  26. 				(!isset($this->conf->mysql['autoCargar'])) or
  27. 				(!$this->conf->mysql['autoCargar'])
  28. 			)
  29. 				return die('
  30. 					Imposible iniciar el sistema de perfilamiento sin iniciar 
  31. 					una conecci&oacute;n por defecto a la base de datos.
  32. 				');
  33. 		}
  34.  
  35. 		/* Previene el robo de la cookie de sesión vía XSS */
  36. 		$cookieSesion = session_get_cookie_params();
  37. 		session_set_cookie_params($cookieSesion['lifetime'], $cookieSesion['path'], $cookieSesion['domain'], $cookieSesion['secure'], true);
  38. 		unset($cookieSesion);
  39.  
  40. 		$this->cargarLibreria('error');
  41. 		$this->cargarLibreria('str');
  42. 		$this->cargarLibreria('cabeceras');
  43. 		$this->cargarLibreria('logs');
  44. 		$this->cargarLibreria('ids');
  45. 		$this->cargarLibreria('driver_obj');
  46.  
  47. 		$this->cabeceras->establecerTipo('text/html');
  48.  
  49. 		/* Carga la conexión MySQL por defecto */
  50. 		if(
  51. 			isset($this->conf->mysql['autoCargar']) and 
  52. 			($this->conf->mysql['autoCargar'])
  53. 		){
  54. 			$this->cargarLibreria('mysql');
  55. 			if(!$this->mysql->conectar(
  56. 				$this->conf->mysql['host'], 
  57. 				$this->conf->mysql['usuario']['nombre'], 
  58. 				$this->conf->mysql['usuario']['clave'], 
  59. 				$this->conf->mysql['baseDeDatos'],
  60. 				$this->conf->mysql['codificacion'], 
  61. 				$this->conf->desfaceGMT['mysql']
  62. 			))
  63. 				return die($this->mysql->error->ultimo('msg'));
  64. 		}
  65.  
  66. 		/* Realiza la autocarga de la sesión de usuario */
  67. 		if($this->conf->perfilamiento['habilitado']){
  68.  
  69. 			/* Carga la librería necesaria */
  70. 			$this->cargarLibreria('usuario');
  71.  
  72. 			/* Carga la sesión de usuario por defecto via sesión de cookie */
  73. 			$this->usuario->perfilarViaCookie();
  74.  
  75. 			/* Reinicia cualquier error de carga fallida */
  76. 			$this->usuario->error->reiniciar();
  77.  
  78. 			/* Guarda sesiones temporales solo para usuarios logueados para prevenir una 
  79. 			sobrecarga durante un ataque de DDOS o ataque distribuido */
  80. 			if($this->usuario->perfilado)
  82. 		}
  83.  
  84. 		$this->detectaAgenteDeUsuario();
  85.  
  86. 		/* Carga las autocargas antes de cargar cualquier otra cosa (librerias 
  87. 		adicionales, módulos, etc) */
  88. 		$this->establecerAutocargas('pre');
  89.  
  90. 		/* Verifica la integridad del contexto actual en tema de 
  91. 		 * seguridad e intrusión no concentida */
  92. 		$this->ids->iniciar();
  93.  
  94. 		$this->contenidoHtml = array(
  95. 			'cabecera'	=> '',
  96. 			'modulo'	=> array()
  97. 		);
  98.  
  99. 		/* Obtiene las configuraciones del archivo de configuraciones del template
  100. 		antes de llamar a los módulos */
  101. 		if($this->conf->template['habilitado']){
  102.  
  103. 			/* Existe el template? */
  104. 			if(!file_exists($this->conf->rutas['template']['local'].'index.php'))
  105. 				return die('El Template seleccionado no existe.');
  106.  
  107. 			/* El archivo de configuraciones existe? */
  108. 			if(!file_exists($this->conf->rutas['template']['local'].'config.php'))
  109. 				return die('La configuración del Template no existe.');
  110.  
  111. 			/* Obtiene las configuraciones del template */
  112. 			include($this->conf->rutas['template']['local'].'config.php');
  113. 		}
  114.  
  115. 		$this->cargaModulos();
  116.  
  117. 		$this->establecerAutocargas('pos');
  118.  
  119. 		/* Muestra el contenido final entre el módulo y el template */
  120.  
  121. 		/* Muestra la carga de todos los módulos en orden coorelativo */
  122. 		$this->contenidoHtml['modulo'] = implode('', $this->contenidoHtml['modulo']);
  123.  
  124. 		if($this->conf->template['habilitado'])
  125. 			include($this->conf->rutas['template']['local'].'index.php');
  126. 		else
  127. 			echo $this->contenidoHtml['modulo'];
  128.  
  129. 		/* Cierra la conexión MySQL */
  130. 		if(is_object($this->mysql))
  131. 			$this->mysql->cerrar();
  132.  
  133. 		/* Final de la ejecución */
  134. 	}
  135.  
  136. 	function detectaAgenteDeUsuario(){
  137.  
  138. 		/* Valores por defecto */
  139. 		$this->navegador = array(
  140. 			'nombre'	=> '',
  141. 			'version'	=> '',
  142. 			'ie<=8'		=> false,
  143. 			'soportaHTML5'	=> false /* ie >= 9 && * */ 
  144. 		);
  145.  
  146. 		/* Detecta el motor del agente de usuario */
  148. 			'#(?<navegador>'.join('|', array('msie', 'firefox', 'safari', 'webkit', 'opera', 'netscape', 'konqueror', 'gecko')).')[/ ]+(?<version>[0-9]+(?:\.[0-9]+)?)#', 
  149. 			strtolower($_SERVER['HTTP_USER_AGENT']), 
  150. 			$navegador
  151. 		);
  152.  
  153. 		if($navegador['navegador'][0]){
  154. 			$ieTrident = false;
  155. 			if(strtolower(trim($navegador['navegador'][0])) == 'msie'){
  156. 				if(count(explode('.', $navegador['version'][0])) > 1){
  157. 					$mVersion = explode('.', $navegador['version'][0]);
  158. 					if((int)$mVersion[0] < 9){ /* ie<=8 */
  159. 						$ieTrident = true;
  160. 					}
  161.  
  162. 				}
  163. 			}
  164. 			$this->navegador = array(
  165. 				'nombre'		=> strtolower(trim($navegador['navegador'][0])),
  166. 				'version'	=> trim($navegador['version'][0]),
  167. 				'ie<=8'		=> $ieTrident, /* ie<=8 */
  168. 				'soportaHTML5'	=> ($ieTrident ? false : true) /* ie>=9&&* */ 
  169. 			);
  170. 			unset($navegador, $ieTrident);
  171. 		}
  172. 	}
  173.  
  174. 	function cargarLibreria($namespace, $nuevo = false, $parametros = null){
  175. 		/* Incluye el archivo de la librería una sola ves para hacer uso de el las veces 
  176. 		que sea necesario */
  177. 		include_once($this->conf->rutas['librerias']['local'].$namespace.'.php');
  178.  
  179. 		if($nuevo){			
  180. 			$libreria = new $namespace($parametros);
  181.  
  182. 			if(!$libreria->sys)
  183. 				$libreria->sys = $this; /* Librería recursiva */
  184.  
  185. 			/* Libreria por defecto sin recursividad */
  186. 			if(
  187. 				($namespace != 'error') and 
  188. 				(!$libreria->error)
  189. 			)
  190. 				$libreria->error = $this->cargarLibreria('error', true);
  191.  
  192. 			/* Retorna la librería cargada */
  193. 			return $libreria;
  194.  
  195. 		}else{
  196. 			/* El objeto ya existe? */
  197. 			if(is_object($this->$namespace))
  198. 				return $this->$namespace;
  199.  
  200. 			$this->$namespace = new $namespace($parametros);
  201.  
  202. 			if(!$this->$namespace->sys)
  203. 				$this->$namespace->sys = $this; /* Librería recursiva */
  204.  
  205. 			/* Libreria por defecto sin recursividad */
  206. 			if(
  207. 				($namespace != 'error') and 
  208. 				(!$this->$namespace->error)
  209. 			)
  210. 				$this->$namespace->error = $this->cargarLibreria('error', true);
  211.  
  212. 			/* Retorna la librería cargada */
  213. 			return $this->$namespace;
  214. 		}
  215. 	}
  216.  
  217. 	function establecerAutocargas($prefijo){
  218. 		/* Procesa archivos */
  219. 		if($archivos = glob($this->conf->rutas['autocargas']['local'].$prefijo.'*.php'))
  220. 			foreach($archivos as $archivo)
  221. 				include_once($archivo);
  222. 		unset($archivos);
  223.  
  224. 		/* Procesa directorios */
  225. 		if($archivos = glob($this->conf->rutas['autocargas']['local'].$prefijo.'*/index.php'))
  226. 			foreach($archivos as $archivo)
  227. 				include_once($archivo);
  228. 		unset($archivos);
  229. 	}
  230.  
  231. 	function obtieneModulosSeleccionables($base = false){
  232. 		/* Crea la base de la búsqueda */
  233. 		if(!$base)
  234. 			$base = $this->conf->rutas['modulos']['local'];
  235.  
  236. 		$mods = array();
  237.  
  238. 		/* Va en busca de los módulos */
  239. 		foreach(glob($base.'*/index.php') as $file){
  240. 			$mod = explode('/', $file);
  241. 			if($mod = $mod[count($mod) - 2])
  242. 				$mods[] = $mod;
  243. 			unset($mod, $file);
  244. 		}
  245.  
  246. 		/* Hay módulos? */
  247. 		if(!$mods)
  248. 			return array();
  249.  
  250. 		/* Arreglo contenedor de la totalidad de las secciones a devolver */
  251. 		$totalMods = array();
  252.  
  253. 		/* Va en busca de los submódulos de forma recursiva */
  254. 		foreach($mods as $mod){
  255. 			$totalMods[] = $mod;
  256.  
  257. 			/* Tiene submódulos? */
  258. 			if(is_dir($base.$mod.'/submodulos')){
  259.  
  260. 				/* Va en busca de los submódulos */
  261. 				if($submods = array_filter($this->obtieneModulosSeleccionables($base.$mod.'/submodulos/'))){
  262.  
  263. 					/* Procesa cada submódulo */
  264. 					foreach($submods as $submod){
  265. 						$totalMods[] = $mod.'/'.$submod;
  266. 						unset($submod);
  267. 					}
  268. 					unset($submods);
  269. 				}
  270. 			}
  271. 			unset($mod);
  272. 		}
  273. 		unset($mods, $base);
  274.  
  275. 		/* Devuelve todas las secicones seleciconables del directorio en contexto */
  276. 		return (array)array_filter($totalMods);
  277. 	}
  278.  
  279. 	function cargaModulos(){
  280. 		/* Estructura de directorios :
  281.  
  282. 		Modules [dir]
  283. 			module-1
  284. 				index.php <- main
  285. 				assets
  286. 					style.css <- automatico
  287. 					print.css <- automatico
  288. 					script.js <- automatico
  289. 					images
  290. 						a.jpg
  291. 						b.jpg
  292. 				submodulos
  293. 					submodulo-1.1
  294. 						index.php <- main
  295. 						assets
  296. 						images
  297. 						submodulos
  298. 							submodulo-1.1.1
  299. 							submodulo-1.1.2
  300. 								submodulos
  301. 									submodulos
  302. 										submodulos
  303. 											...
  304. 					submodulo-1.2
  305. 						...
  306. 			module-2
  307. 				...
  308. 		*/
  309.  
  310. 		$rutaInfo = '';
  311.  
  312. 		/* Determina el módo en que se obtendrán los módulos */
  313. 		if(isset($_SERVER['PATH_INFO']))
  314. 			$rutaInfo = trim((string)$_SERVER['PATH_INFO'], '/');
  315.  
  316. 		elseif(isset($_SERVER['ORIG_PATH_INFO']))
  317. 			$rutaInfo = trim((string)$_SERVER['ORIG_PATH_INFO'], '/');
  318.  
  319. 		else
  320. 			$rutaInfo = trim((string)$this->conf->moduloPrincipal, '/');
  321.  
  322. 		/* Extirpa los nombres de archivos terminados en .html para dar información a la URL 
  323. 		canonizada, por ejemplo: http://localhost/usuarios/resumen/juan-lobos.html?id=18 la ruta 
  324. 		de información será: usuarios/resumen */
  325. 		if(substr(strtolower($rutaInfo), -5) == '.html')
  326. 			$rutaInfo = substr($rutaInfo, 0, strrpos($rutaInfo, '/'));
  327.  
  328. 		/* Crea un mapa con las posibles secciones para prevenir el LFI o el Path Traversal */
  329. 		if(!$this->modulosSeleccionables = $this->obtieneModulosSeleccionables())
  330. 			die('No hay secciones establecidas en el sistema para cargar');
  331.  
  332. 		/* Existe la ruta seleccionada? (Control derivado desde la solicitud del navegador) */
  333. 		if(!in_array($rutaInfo, $this->modulosSeleccionables))
  334. 			return $this->cargarModulo('estado', array('get' => array('id' => 404, 'msg' => 'La sección solicitada no existe')));
  335.  
  336. 		/* Transforma la ruta de información a objeto array ordenado */
  337. 		if(strpos($rutaInfo, '/') !== false)
  338. 			/* Ruta compuesta por submódulos */
  339. 			$rutaInfo = array_filter((array)explode('/', $rutaInfo));
  340. 		else
  341. 			/* Sin submódulos */
  342. 			$rutaInfo = array($rutaInfo);
  343.  
  344. 		/* Establece el contexto, por ejemplo principal/submodulo/submodulo/submodulo */
  345. 		$this->conf->modulo['contextoCompleto']	= implode('/', $rutaInfo);
  346.  
  347. 		/* Token verificador para prevenir que siga cargando los submódulos si un módulo retornó con la inclusión de un nuevo módulo. */
  348. 		$idModulo = 0; 
  349. 		$relativo = array();
  350.  
  351. 		/* Procesa cada sección necesitada */
  352. 		foreach($rutaInfo as $modulo){
  353. 			if(count($this->conf->modulo['contextoHistorial']) > (int)$idModulo)
  354. 				break;
  355.  
  356. 			/* Contexto actual */
  357. 			$relativo[] = $modulo;
  358.  
  359. 			$this->cargarModulo(implode('/', $relativo));
  360.  
  361. 			$idModulo++;
  362. 		}
  363. 	}
  364.  
  365. 	function cargarModulo($rutaInfo, $variablesHTTP = null){
  366.  
  367. 		/* Existe la ruta seleccionada? (Control derivado desde un módulo o librería) */
  368. 		if(!in_array($rutaInfo, $this->modulosSeleccionables))
  369. 			return $this->cargarModulo('estado', array('get' => array('id' => 404, 'msg' => 'La sección solicitada no existe')));
  370.  
  371. 		/* Compone las variables via HTTP GET y POST */
  372. 		if($variablesHTTP){
  373. 			if(isset($variablesHTTP['get']))
  374. 				$_GET  = array_filter(array_merge($_GET, $variablesHTTP['get']));
  375.  
  376. 			if(isset($variablesHTTP['post']))
  377. 				$_POST = array_filter(array_merge($_POST, $variablesHTTP['post']));
  378.  
  379. 			unset($variablesHTTP);
  380. 		}
  381.  
  382. 		/* Limpia la ruta de información */
  383. 		$rutaInfo = trim(trim($rutaInfo), '/');
  384.  
  385. 		/* Compone la ruta real */
  386. 		$rutaReal = array(
  387. 			'local'		=> $this->conf->rutas['modulos']['local'].str_replace('/', '/submodulos/', $rutaInfo).'/',
  388. 			'remoto'	=> $this->conf->rutas['modulos']['enlace'].str_replace('/', '/submodulos/', $rutaInfo).'/',
  389. 			'enlace'	=> $this->enlace($rutaInfo)
  390. 		);
  391.  
  392. 		/* Obtiene el identificador del módulo final */
  393. 		if(strpos($rutaInfo, '/') !== false){
  394. 			$idModulo = explode('/', $rutaInfo);
  395. 			$idModulo = $idModulo[count($idModulo) - 1];
  396. 		}else
  397. 			$idModulo = $rutaInfo;
  398.  
  399. 		/* Obtiene los datos del último módulo */
  400. 		$this->conf->modulo['actual'] = array(
  401. 			'id'		=> $idModulo,
  402. 			'rutaInfo'	=> $rutaInfo,
  403. 			'titulo'	=> '', /* Se establecerá dentro del módulo de manera opcional */
  404. 			'rutas'		=> $rutaReal
  405. 		);
  406.  
  407. 		/* Establece el historial de secciones llamadas (útil para crear menus de navegación) */
  408. 		$this->conf->modulo['historial'][]			= $this->conf->modulo['actual'];
  409. 		$this->conf->modulo['contextoHistorial'][]	= $this->conf->modulo['actual']['rutaInfo'];
  410.  
  411. 		/* Elimina todo contenido anterior al módulo */
  413. 		unset($b);
  415.  
  416. 		/* Inicia el capturado del contenido del módulo */
  418.  
  419. 		/* Incluye la sección */
  420. 		include_once($rutaReal['local'].'index.php');
  421.  
  422. 		/* Obtiene el contenodo del módulo */
  423. 		$this->contenidoHtml['modulo'][] = ob_get_contents();
  425.  
  426. 		/* Incluye dependencias de forma automática (evita tener que declararlas en cada sección) */
  427. 		if(file_exists($rutaReal['local'].'/assets/script.js'))
  428. 			$this->contenidoHtml['cabecera'] .= 
  429. 				'<script type="text/javascript">'."\n".
  430. 				"/*\nIncluido automáticamente desde \n".$rutaReal['remoto']."assets/script.js\n*/\n\n".
  431. 				file_get_contents($rutaReal['local'].'assets/script.js')."\n".
  432. 				'</script>'."\n";
  433.  
  434. 		if(file_exists($rutaReal['local'].'/assets/style.css'))
  435. 			$this->contenidoHtml['cabecera'] .= 
  436. 				'<style type="text/css" media="all">'."\n".
  437. 				"/*\nIncluido automáticamente desde \n".$rutaReal['remoto']."assets/style.css\n*/\n\n".
  438. 				file_get_contents($rutaReal['local'].'assets/style.css')."\n".
  439. 				'</style>'."\n";
  440.  
  441. 		if(file_exists($rutaReal['local'].'/assets/print.css'))
  442. 			$this->contenidoHtml['cabecera'] .= 
  443. 				'<style type="text/css" media="print">'."\n".
  444. 				"/*\nIncluido automáticamente desde \n".$rutaReal['remoto']."assets/print.css\n*/\n\n".
  445. 				file_get_contents($rutaReal['local'].'assets/print.css')."\n".
  446. 				'</style>'."\n";
  447.  
  448. 		/* Actualiza los datos establecidos por el módulo */
  449. 		$this->conf->modulo['historial'][count($this->conf->modulo['historial']) - 1] = $this->conf->modulo['actual'];
  450. 	}
  451.  
  452. 	function enlace($rutaInfo = null, $parametros = null, $informacion = null){
  453. 		$ruta = $this->conf->rutas['base']['enlace'];
  454.  
  455. 		/* Si no hay ruta lo enlaza al directorio raiz */
  456. 		if($rutaInfo)
  457. 			$ruta .= trim($rutaInfo, '/').'/';
  458.  
  459. 		/* Archivo .html que se mostrará al final de la ruta del enlace */
  460. 		if($informacion)
  461. 			$ruta .= urlencode($this->str->toFriendlyUrl($informacion)).'.html';
  462.  
  463. 		/* Parámetros vía HTTP GET */
  464. 		if($parametros)
  465. 			$ruta .= '?'.$parametros;
  466.  
  467. 		return $ruta;
  468. 	}
  469.  
  470. 	function redireccionaEnlace($rutaInfo = null, $parametros = null, $informacion = null){
  471. 		return $this->cabeceras->redireccionaUrl($this->enlace($rutaInfo, $parametros, $informacion));
  472. 	}
  473. }
  474.  

Título: Re: crear enlaces seguros para las paginas php
Publicado por: WHK en 25 Septiembre 2014, 20:01 pm
Cita de: MinusFour en 25 Septiembre 2014, 17:22 pm
    preg_match('/^([\w\/]+)=?(\w+)?&?/', $_SERVER['QUERY_STRING'], $matches);
     
    if(array_key_exists($matches[0], $includes)){

Talves ese código pueda ser vulnerable a un RE-DOS (denial of service in Expression Regular), por ejemplo tienes una llamada redundante si te escribo esta url:

demo/index.php/////////////// ... //////////////?&======&=&=&=&&&&&&&&&&& ...

Tu expresión puede causar que retorne nulo o que la función arroje alugn tipo de excepción especialmente por el array_key_exists ya que $matches[0] no existiría y puedes provocar un agujero de tipo path disclosure.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 25 Septiembre 2014, 21:24 pm
Cita de: WHK en 25 Septiembre 2014, 20:01 pm
Talves ese código pueda ser vulnerable a un RE-DOS (denial of service in expression Regular), por ejemplo tienes una llamada redundante si te escribo esta url:

demo/index.php/////////////// ... //////////////?&======&=&=&=&&&&&&&&&&& ...

Tu expresión puede causar que retorne nulo o que la función arroje alugn tipo de excepción especialmente por el array_key_exists ya que $matches[0] no existiría y puedes provocar un agujero de tipo path disclosure.

Pues a mi esas urls no me tiran ningun problema, incluso tirando URLs enormes. ¿En que parte de mi REGEX dices que puede haber una redundancia?

Si el OP se siente a disgusto con mi REGEX, pues se puede hacer otra cosa como:

Código
  1. foreach ($includes as $key => $val){
  2. 	if(preg_match("@^$key@", $_SERVER["QUERY_STRING"])){
  3. 		echo $val;
  4. 	}
  5. }

Y si el indice 0 no existe, devuelve un notice pero array_key_exists devuelve false así que lo que ponga dentro del bloque nunca llega a ejecutarse y array_key_exists no devuelve ninguna excepción, error, notice o warning.

De todas formas, es buena idea comprobar si el valor existe, solo por si algunas otras versiones de PHP se comportan de otra manera.

Cita de: gAb1 en 25 Septiembre 2014, 19:37 pm
Esa era la idea en un principio, ahora mismo lo mas cercano a eso que tengo es:

Código:
www.sitio.com/?site/login

Y me gustaría poder hacer eso que comentas... ¿Podrias decirme como podria hacerlo con el mod_rewrite? Ya tengo un .htaccess preparado :)

Pero volviendo al otro problema, es posible hacer que el codigo actual solo lea hasta & y apartir se interprete como otra variable? Para poder hacer que funcione ?site/login&error=1

Gracias!

Ok, tenía un pequeño error con el $match, pero esto debería regresar la primera palabra antes del =&.

Código
  1. $views = 'views/';
  2. $site = $views . 'site/';
  3. $user = $views . 'user/';
  4.  
  5. $time = microtime(true);
  6.  
  7. $includes = array(
  8. 	'home' => $views . 'home.php',
  9. 	'site/login' => $site . 'login.php',
  10. 	'site/logout' => $site . 'logout.php',
  11. 	'site/contact' => $site . 'contact.php',
  12. 	'site/about' => $site . 'about.php',
  13. 	'user/register' => $user . 'register.php',
  14. 	'user/referral' => $user . 'referral.php',
  15. 	'user/friend' => $user. 'friend.php',
  16. 	'user/register_success' => $user . 'register_success.php'
  17. );
  18.  
  19. preg_match('/^([\w\/]+)=?(\w+)?&?/', $_SERVER['QUERY_STRING'], $matches);
  20. $matches[1] = isset($matches[1]) ? $matches[1] : null;
  21.  
  22. if(array_key_exists($matches[1], $includes)){
  23. 	echo $includes[$matches[1]];
  24.  
  25. }

En cuanto a lo del ruteador, ya es preferencia si eliges crearte tu propio ruteador o usar el de otros. No necesitas cargarte todo un framework para implementar un ruteador, puedes usar por ejemplo una libreria:

https://github.com/dannyvankooten/PHP-Router

Título: Re: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 25 Septiembre 2014, 23:03 pm
@WHK Gracias, el proyecto actual tengo pensado hacer algo ligero, nada de frameworks o librerias. Ademas de que hacer la web de 0 me ayudara a ganar experiencia en este lenguaje. Pero si no te importa me guardo el codigo, seguramente vaya a necesitarlo para algo más grande :)

Siempre y cuando lo que vaya hacer en la web no requiera nada externo como librerias o plugins, y de momento no es necesario.

@MinusFour Gracias a ti tambien por las molestias! Por cierto, ¿para que es la variable $time que has puesto en el codigo? Se te habia olvidado poner la funcion include() al final, pero ya esta todo funcionando! :D

Código
  1. function showContent() {
  2. 	$views						= 'views/';
  3. 	$site						= $views . 'site/';
  4. 	$user						= $views . 'user/';
  5.  
  6. 	//$time = microtime(true);       // Para que sirve esto??
  7.  
  8. 	//$_SERVER['QUERY_STRING'] = 'home';   // Como hago para mostrar home aunque no se haga un input??
  9.  
  10. 	$includes = array(
  11. 		'home' => $views . 'home.php',
  12. 		'site/login' => $site . 'login.php',
  13. 		'site/logout' => $site . 'logout.php',
  14. 		'site/contact' => $site . 'contact.php',
  15. 		'site/about' => $site . 'about.php',
  16. 		'user/register' => $user . 'register.php',
  17. 		'user/referral' => $user . 'referral.php',
  18. 		'user/friend' => $user. 'friend.php',
  19. 		'user/register_success' => $user . 'register_success.php'
  20. 	);
  21.  
  22. 	preg_match('/^([\w\/]+)=?(\w+)?&?/', $_SERVER['QUERY_STRING'], $matches);
  23. 	$matches[1] = isset($matches[1]) ? $matches[1] : null;
  24.  
  25. 	if(array_key_exists($matches[1], $includes)){
  26. 	$content = include($includes[$matches[1]]); 
  27. 	return $content;
  29. }

Y dentro de main.php simplemento llamo a la función showContent() aunque he tenido que incluir index.php Y seguro que se puede arreglar la manera de hacerlo... hehehe

Código
  1. <?php
  2. $path = $_SERVER['DOCUMENT_ROOT'];
  3. $path .= "/index.php";
  4. include_once($path);
  5. showContent();
  6. ?>

Y todavia estoy tratando de averiguar como hacer que home sea lo que se muestra cuando no hay un input: index.php incluye main.php y este home.php.

Gracias!

Edito: Estoy algo espeso... con la solución delante todo el tiempo y no la veia :P

Código
  1. if(!$_SERVER['QUERY_STRING'])
  2.     $_SERVER['QUERY_STRING'] = 'home';

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 25 Septiembre 2014, 23:28 pm
La variable $time, la estaba usando para hacer pruebas, al final volvia a hacer microtime() y restaba para saber cuanto tardaba en ejecutar el código.

¿Te refieres a cargar la ruta home cuando QUERY_STRING este vacio?
Código
  1. if(array_key_exists($matches[1], $includes)){
  2. 	$content = include($includes[$matches[1]]); 
  3. 	} elseif (empty($_SERVER['QUERY_STRING'])){
  4.         $content = include($includes['home']);
  5.         } else {
  6.         $content = "Error 404";
  7.         }
  8. return $content;
  9.  

Título: Re: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 25 Septiembre 2014, 23:30 pm
Y volviendo a lo de las rutas de enlace, ¿seria muy dificil con el codigo actual no necesitar "?" para llamar una pagina?

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 25 Septiembre 2014, 23:46 pm
Cita de: gAb1 en 25 Septiembre 2014, 23:30 pm
Y volviendo a lo de las rutas de enlace, ¿seria muy dificil con el codigo actual no necesitar "?" para llamar una pagina?

No es díficil, lo que hacen casi todos los ruteadores de los scripts/frameworks famosos como Wordpress, Joomla, Symfony, Zend, etc. Es redirigir todas las direcciones a un archivo de entrada (por medio de mod_rewrite) y luego parsean la dirección y despliegan el recurso necesario.

Por ejemplo:

Código:
http://pagina.com/hola
http://pagina.com/categoria
http://pagina.com/test

Por medio de un mod_rewrite haces que todas las urls redirigan a entry.php por ejemplo.

Desde el entry.php tu puedes manejar las urls y desplegar la información de acuerdo al REQUEST_URI.

Código
  1.  
  2. if($_SERVER['REQUEST_URI'] == '/hola'){
  3.    //Muestra el contenido de http://pagina.com/hola
  4. } elseif($_SERVER['REQUEST_URI'] == '/categoria') {
  5.   //Muestra el contenido de http://pagina.com/categoria
  6. } else {
  7.   //Ruta no econtrada: error 404
  8. }

Título: Re: crear enlaces seguros para las paginas php
Publicado por: WHK en 25 Septiembre 2014, 23:48 pm
Codeigniter es el framework mas robusto y liviano que existe, las paginas se ejecutan en 0.001 segundos aprox y no tienes que preocuparte por estas cosas.

De todas formas el proyecto es tuyo y tu sabes que haces con el.

Si no quieres usar "?" puedes pasar los parámetros así: index.php/parametros/test de todas formas codeigniter también hace eso para el seo y los permalinks y el codigo de ejemplo que te di tambien lo hace.

Código
  1. if(isset($_SERVER['PATH_INFO']))
  2. 			$rutaInfo = trim((string)$_SERVER['PATH_INFO'], '/');
  3.  
  4. 		elseif(isset($_SERVER['ORIG_PATH_INFO']))
  5. 			$rutaInfo = trim((string)$_SERVER['ORIG_PATH_INFO'], '/');

Después ocultas el index.php con un htaccess y no necesitas crear reglas raras via htaccess como lo hace wordpress o joomla. Te ahorras tener que tocar esos archivos cada ves que tengas secciones nuevas.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 26 Septiembre 2014, 01:06 am
Cita de: WHK en 25 Septiembre 2014, 23:48 pm
Te ahorras tener que tocar esos archivos cada ves que tengas secciones nuevas.

No necesitas tocar los .htaccess para nada, con las reglas por default de wordpress te bastan. El ruteador hace todo por tí.. y las reglas del mod_rewrite pueden ser tan sencillas como:

Código
  1. DirectoryIndex entry.php
  2.  
  3. <IfModule mod_rewrite.c>
  4. RewriteEngine On
  5. RewriteBase /
  6. RewriteRule ^entry\.php$ - [L]
  7. RewriteCond %{REQUEST_FILENAME} !-f
  8. RewriteCond %{REQUEST_FILENAME} !-d
  9. RewriteRule . /entry.php [L]
  10. </IfModule>

Y no necesitas modificar tus rutas para nada en el .htaccess, las modificas en el archivo entry.php

Código
  1. <?php
  2.  
  3. $string = $_SERVER['REQUEST_URI'];
  4.  
  5. if($string == '/hola'){
  6. 	echo 'hey';
  7. }
  8. elseif($string == '/test'){
  9. 	echo 'test';
  10. }
  11. elseif($string == '/hey'){
  12. 	echo 'hrm';
  13. }
  14. elseif($string == '/'){
  15. 	echo 'home';
  16. } else {
  17. 	echo 'Error 404';
  18. }
  19.  
  20. ?>

Título: Re: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 26 Septiembre 2014, 01:49 am
Vaya, dos maneras diferentes... Me gustaría probar las dos para ver que tal, pero tengo algunas dudas:

1º ¿Donde tengo que poner este codigo? Perdonar mi ignorancia :P

Código
  1.     if(isset($_SERVER['PATH_INFO']))
  2.     $rutaInfo = trim((string)$_SERVER['PATH_INFO'], '/');
  3.  
  4.     elseif(isset($_SERVER['ORIG_PATH_INFO']))
  5.     $rutaInfo = trim((string)$_SERVER['ORIG_PATH_INFO'], '/');

2º El metodo redirigiendo a entry.php,  que pasa en el caso de usar un archivo.php que existe para usar un link? Por ejemplo, si test.php existe y escribo test.php/site/login: daria error, no?

Porque cualquier cosa que escribas se redirige a entry.php y se compara con la lista? O solo se compara lo que hay despues de ?, o de esta manera se compara todo lo que escribas despues de la url? awww.site.com/'---> a partir de aqui se compara todo?

Volvemos a lo de antes, que pasa con las variables como login.php?error=1?? se seguirian ejecutando? site.com/site/login&error=1?

Gracias!

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 26 Septiembre 2014, 02:11 am
Si test.php existe y escribes test.php/site/login, se ejecuta test.php, pero el URI cambia, ya no es /site/login ahora es /test.php/site/login. Claro que si tu script no está leyendo el URI o el path, no afecta en nada.

Para el queryString puede ser un problema, porque no hace un match exacto con la ruta. PATH_INFO sería una solución más adecuada si quieres conservar el QueryString o hacer alguna manipulación de texto con el REQUEST_URI. También puedes optar por "reescribir" tu queryString dentro de una ruta.

Por ejemplo:

Código:
/site/login/error/1

Título: Re: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 26 Septiembre 2014, 02:29 am
¿Por que no funciona esto?

Código
  1. 	preg_match('/^([\w\/]+)=?(\w+)?&?/', $_SERVER['REQUEST_URI'], $matches);
  2. 	$matches[1] = isset($matches[1]) ? $matches[1] : null;

Es más complicado de lo que parece porque index.php es lo que llama la estructura y esta llama los views. Si se cambia de pagina ya no funcionaria...

Lo intento de ese modo porque me gustaría tener el tipo de links -> site.com/site/login&error=1 y que funcionara.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 26 Septiembre 2014, 02:46 am
Cita de: gAb1 en 26 Septiembre 2014, 02:29 am
¿Por que no funciona esto?

Código
  1. 	preg_match('/^([\w\/]+)=?(\w+)?&?/', $_SERVER['REQUEST_URI'], $matches);
  2. 	$matches[1] = isset($matches[1]) ? $matches[1] : null;

Es más complicado de lo que parece porque index.php es lo que llama la estructura y esta llama los views. Si se cambia de pagina ya no funcionaria...

Lo intento de ese modo porque me gustaría tener el tipo de links -> site.com/site/login&error=1 y que funcionara.

Te refieres a:
Código:
site.com/site/login?error=1

No te va a funcionoar el regex.
Código
  1. $_SERVER['REQUEST_URI']
tiene un valor de
Código:
/site/login?error=1
Lo que podrías hacer es algo como lo que puse antes:

Código
  1. foreach ($includes as $key => $val){
  2. 	if(preg_match("@^/$key@", $_SERVER["REQUEST_URI"])){
  3. 		include $val;
  4. 	}
  5. }

Título: Re: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 26 Septiembre 2014, 04:34 am
Lo siento fallo mio, si que funcionaba, se me olvido el .htaccess

Lo unico es que en lugar de entry.php uso index.php.

Código
  1. function showContent() {
  2. 	$views						= 'views/';
  3. 	$site						= $views . 'site/';
  4. 	$user						= $views . 'user/';
  5.  
  6. 	if($_SERVER['REQUEST_URI'] == '/')
  7. 		$_SERVER['REQUEST_URI'] = '/home';
  8.  
  9. 	$includes = array(
  10. 		'/home'					=> $views . 'home.php',
  11. 		'/login'				=> $site . 'login.php',
  12. 		'/logout'				=> $site . 'logout.php',
  13. 		'/contact'				=> $site . 'contact.php',
  14. 		'/about'				=> $site . 'about.php',
  15. 		'/register'				=> $user . 'register.php',
  16. 		'/referral'				=> $user . 'referral.php',
  17. 		'/friend'				=> $user . 'friend.php',
  18. 		'/register_success'			=> $user . 'register_success.php'
  19. 	);
  20.  
  21. 	preg_match('/^([\w\/]+)=?(\w+)?&?/', $_SERVER['REQUEST_URI'], $matches);
  22. 	$matches[1] = isset($matches[1]) ? $matches[1] : null;
  23.  
  24. 	if(array_key_exists($matches[1], $includes)){
  25. 		$content = include($includes[$matches[1]]); 
  26. 	} else $content = "Error 404";
  27. 	return $content;
  28. }
  29.  

Y efectivamente los links son: site.com/login?error=1

Al final de la manera mas simple posible, directamente el nombre del archivo, sin carpeta.

¿Podrías decirme alguna manera de comprobar si es vulnerable? Como por ejemplo lo de poner una larga cadena de caracteres y crear agujeros de esos. ¿O no se puede si hay una whitelist?

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 26 Septiembre 2014, 05:10 am
Bueno, la expresión regular si te va a capturar la parte que necesitas, pero lo demás realmente es innecesario. De hecho, ahora que me pongo a pensar un poco en mi expresión, realmente no necesitas el "?=(\w+)?&?' para nada, está de más.

También podrias adaptar la expresión regular para que funcione através del archivo.php. Como lo tienes ahora:

Código:
http://www.site.com/inicio
//Funciona

http://www.site.com/index.php/inicio
//No funciona

Título: Re: crear enlaces seguros para las paginas php
Publicado por: gAb1 en 26 Septiembre 2014, 05:38 am
¿Te refieres a que funcionen los links con el index.php? Si es eso, es justo lo que no queria, usar nombres completos, el objetivo era este, con un simple nombre sin extension llamar la pagina.

Asi tal cual lo tengo funciona perfectamente.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: JorgeEMX en 29 Septiembre 2014, 06:15 am
Sería más simple irse por lo que debería ser que estar evitando lo que no. Como se supone que debería de ser es, cualquier inclusión que se vaya hacer se parte de un directorio padre y común para iniciar. A éste directorio padre lo único que podría incluir es un archivo o más directorios, y archivos. Por regla general, los nombres de estos archivos y directorios sólo puede ser nombrados por letras de la A-Z y por mucho usar - y _ (/ para delimitar directorios). Cualquier otro carácter se omite y se parte de ahí para incluir cualquier cosa hacía adelante del directorio padre (nunca hacía atrás y mucho menos de algún otro origen que no sea el sistema de ficheros actual). Esto pensando que el "ruteo" sea del tipo /uno/dos/tres. Después sólo bastaría confirmar que el archivo exista.

Una disculpa si no pongo un ejemplo pero sólo paso por acá un rato y ya es de noche (me estoy haciendo viejo). Lo que es cierto es que ya hay bastante proyectos robustos que serían fácil de implementar y evitar reinventar la rueda como bien te comentaron.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: WHK en 29 Septiembre 2014, 14:03 pm
Citar
Sería más simple irse por lo que debería ser que estar evitando lo que no. Como se supone que debería de ser es

Permitir solo de la A a la Z mas - y _ no es irse por lo que debería ser, de hecho te contradices en parte ya que con ese filtro te estás saliendo de norma, que tal si una carpeta se llama por ejemplo admin.mensajes ? según tu modelo dejará de funcionar. Tanto en los sistemas Unix como Linux y Windows tienen diferentes estándares en cuanto a que carácter es permitido como nombre de carpeta y nombre de archivo, por lo cual si tu haces un desarrollo no estandarizado omitiendo caracteres que si están permitidos por el sistema entonces dejará de ser una aplicación escalable ya que otros desarrolladores o el mismo administrador del sistema no podrá utilizar el sistema de archivos común del mismo sistema operativo. Recuerda que un directorio o archivo puede incluir incluso caracteres como acentos, espacios en blanco, puntos, signos especiales, paréntesis, arrobas, etc.

Bajo este contexto mi modelo es el mas eficiente porque cumple con todos los estándares de posibles reales carpetas y archivos bajo una lista blanca como únicos permitidos y sin la necesidad de tener que modificar el código si agregas secciones nuevas, tampoco usa expresiones regulares, o sea, usa menos memoria, menos cpu, menos lineas de código, no es vulnerable, o sea tal como dijiste tu, irse por lo que debería ser en ves de estar evitando lo que no es, no se porque aun le dan tantas vueltas al tema buscando opciones menos inseguras, mas pesadas y con problemas de seguridad.

Título: Re: crear enlaces seguros para las paginas php
Publicado por: JorgeEMX en 29 Septiembre 2014, 15:41 pm
Cita de: WHK en 29 Septiembre 2014, 14:03 pm
Permitir solo de la A a la Z mas - y _ no es irse por lo que debería ser, de hecho te contradices en parte ya que con ese filtro te estás saliendo de norma, que tal si una carpeta se llama por ejemplo admin.mensajes ? según tu modelo dejará de funcionar. Tanto en los sistemas Unix como Linux y Windows tienen diferentes estándares en cuanto a que carácter es permitido como nombre de carpeta y nombre de archivo, por lo cual si tu haces un desarrollo no estandarizado omitiendo caracteres que si están permitidos por el sistema entonces dejará de ser una aplicación escalable ya que otros desarrolladores o el mismo administrador del sistema no podrá utilizar el sistema de archivos común del mismo sistema operativo. Recuerda que un directorio o archivo puede incluir incluso caracteres como acentos, espacios en blanco, puntos, signos especiales, paréntesis, arrobas, etc.

Te doy la razón y por eso dije algo como:

Cita de: JorgeEMX en 29 Septiembre 2014, 06:15 am
Esto pensando que el "ruteo" sea del tipo /uno/dos/tres.

Y el creador del tema si quiere algo en especifico y no algo tan flexible que vaya a exponer como público para la comunidad. Si tú script funciona con la misma lógica pero siendo más flexible entonces también ya lo tiene hecho.

Saludos

Título: Re: crear enlaces seguros para las paginas php
Publicado por: MinusFour en 29 Septiembre 2014, 16:14 pm
Las rutas no necesitan seguir las convenciones de nombrado del sistema de archivos unix o win. Las URIs se apegan a: http://tools.ietf.org/html/rfc3986 y tecnicamente no necesita usarse REGEX, con un simple strpos le bastaría, pero así no tiene que estar ciclando por todo el arreglo.


Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines