Bug in php-funktion show_source?

[okoenigs]

Hallo,

in der httpd.conf habe ich ganz normal

Code: Select all

php_admin_value open_basedir /home/userX

in jedem virtual host stehen. wenn ich nun mit einem php-script eine datei in in einem homeverzeichniss eines anderen users öffnen möchte bekomme ich normal die meldung:

Code: Select all

open_basedir restriction in effect - Operation not permitted

ok. bis dahin ja alles kein problem.

wenn ich aber ein die funktion show_source(file) auf ein anderes homeverzeichniss anwende, kann ich mir komlett alle dateien jedes users ansehen?!?!

Olli

[outofbound]

Was für ein PHP?

[okoenigs]

4.2.3RC2

[okoenigs]

hat da wirklich keiner das gleiche problem, oder eine lösung für. schließlich lassen sich damit von jeder beliebigen stelle auf dem ganzen server alle dateien auslesen ... was ja so nicht wirklich sein kann.

cya

Olli

[jtb]

bei mir funktioniert es nicht:

Code: Select all

<? show_source("/etc/passwd"); ?>

Warning: open_basedir restriction in effect. File is in wrong directory in /usr/local/apache/htdocs/test.php on line 1


PHP Version 4.2.3

[okoenigs]

ok ... das bekomm ich auch nicht hin ... aber alle home-verzeichnisse

[jtb]

mmh, kann ich hier nicht nachvollziehen..

Poste doch mal bitte, was phpinfo() für Details ausgibt (Basedir)..

[okoenigs]

phpinfo sagt:

Code: Select all

open_basedir /home/userX 

aber ich komm auch in /home/user22 etc.

[jtb]

bei "Local Value" oder bei "Master Value"??

[okoenigs]

:?:

steht in der Tabelle "PHP Core"

[jtb]

es gibt zwei Spalten..

Das besondere ist, dass in der Global alles stehen kann, wenn in Local nichts steht, weil Local immer vor geht..

[okoenigs]

Ahh ... *blind*

das steht in der Spalte local, Master hat da keinen Wert.


Olli

[sascha]

Hast du auch einen abschließenden Slash?

Also open_basedir /home/userX/

Sonst kommst du nämlich als User 2 z.B. auch nach /home/user/21 /home/user22 usw.

[okoenigs]

jo .. ist ... was mich halt wundert, dass ich auf ein und die selbe datei mit fopen nicht draufkomme .... aber mit dem show_source ?!

wie kann das sein?