13

Recentemente fiz a seguinte pergunta Como o arquivo recebe os $_POST?

Com base nos comentários e na resposta fiquei interessado em saber quais os principais problemas e perigos de ter essa função habilitada no php.ini?

3 Respostas 3

17

Com essa opção ligada é possível que o usuário defina variáveis em seu código no momento da requisição, e portanto o seu código deveria ser escrito com muito cuidado (o que não acontece muito...). Um exemplo de código vulnerável:

<?php
// define $authorized = true somente se o usuário for autenticado
if (authenticated_user()) {
    $authorized = true;
}
// Porque nós não inicializamos $authorized como false, ela pode ser
// definida através de register_globals, como usando GET auth.php?authorized=1
// Dessa maneira, qualquer um pode ser visto como autenticado!
if ($authorized) {
    include "/highly/sensitive/data.php";
}
?>

Caso o usuário entre com a url www.seudominio.com.br/arquivo.php?authorized=1
Então o PHP irá interpretar o código da seguinte forma:

<?php
// Nesse ponto ele ira transformar o $_GET na respectiva variável automaticamente.
$authorized=1
// Essa verificação perde o sentido uma vez que a variável já está como true
if (authenticated_user()) {
    $authorized = true;
}
// Como true e 1 tem o mesmo peso na verificação, ou seja ambos são equivalentes
// Nesse ponto a verificação passaria a exibir os dados para qualquer um que entresse
// Pela URL citada acima.
if ($authorized) {
    include "/highly/sensitive/data.php";
}
?>

Referência e mais comentários em http://php.net/manual/pt_BR/security.globals.php

0
6

Sempre que habilita o 'register_globals' está autorizar o mundo inteiro, através de uma requisição http, a criar e subscrever variáveis no seu script php.

Cada requisição http é transformada em um array de escopo global pelo php. Com essa opção habilitada todas as chaves dessa array são transformadas em nomes de variáveis com escopo global. Se chamar uma dessas variáveis e ela não estiver inicializada, ela vais assumir o valor da global, ou seja o valor de um post ou get.

Digamos que é assim, você perdeu um cheque em branco com a sua assinatura e agora reza para ninguém achar o cheque e o preencher com um valor inferior ao que tem na conta.

0

O register globals foi desativado a partir da versão 5.4, pois colocava em risco muitas aplicações.

Com ele, qualquer pessoa que chamasse uma URL como por exemplo:

meusite.com/teste.php?variavel=valor

Simplesmente conseguiria já setar um valor pra ela dentro do seu código. Havia muito ataque com base nisso.

Depois do PHP 5.4, pra simular o regiter_globals caso precise, basta usar o comando extract(); no início do código. Assim todas as variaveis que vierem por POST ou GET já chegam "prontas".

O comando é bem simples: extract();

Mas use com cuidado, ok?

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .