allow_url_fopen=on

[Adrenalinpur]

Hi,

stellt diese direktive in php 4.3.4 immer noch ein Sicherheitsrisiko dar und kann man diese unbeschadet abschalten?

Gruß und Dank A.

 

[Jakob]

Ist meines Wissens bei den meisten Providern ohnehin abgestellt.

Typo3 soll wohl mit ausgeschaltetem ein bisschen straucheln, aber wenn man da [SYS][curlUse]=0 auf 1 setzt geht's auch.

 

[Adrenalinpur]

auerhau Jakob, kann es sein daß deshalb mein Mambo nicht mehr läuft?

 

[Jakob]

Keine Ahnung, Google weiß sicherlich Rat.

 

[Adrenalinpur]

Danke, aber es lag an was ganz anderem, ganz Doofem

 

[wegus]

Apache nicht gestartet ?

 

[blacksy]

Ich wusste bis vor kurzem noch nicht einmal, dass es diese Funktion berhaupt gibt. Als ich allerdings versuchte bei meinem Webspace ein Skript hochzuladen das die RSS-Feeds meines externen Weblogs liest, hatte ich ziemliche Probleme. Klar: fopen kann ohne allow_url_fopen keine Daten fremder Server lesen.

Wenn man das wenigstens selber wieder anstellen könnte, wäre das ja kein Problem. Aber bei DomainBOX ist es nicht nur global für alle Mitglieder, sondern wird auch noch durch die Firewall des Rechenzentrums hinter DomainBOX vollkommen ausgeschlossen *argh*.

Das stinkt mir ziemlich, und daher werde ich sehr bald von Domainbox zu 1&1/Puretec wechseln. Bei Puretec ist allow_url_fopen nämlich an, ohne dass das dem prinzipiell guten Ruf von 1&1/Puretec irgend einen Abbruch täte.

 

[Hilarious]

Apache nicht gestartet ?

Jawoll!
rotfl rotfl rotfl rotfl rotfl

 

[Adrenalinpur]

@wegus: ne mysql passwort in phpadmin geändert aber nicht in configuration.php *schäm*

@blacksy: als es bei mit auf on war - so scheint es jetzt - war es eine sicherheitslücke

 

[blacksy]

Es ist ja auch eine Sicherheitslücke, da - soweit ich es verstanden habe - durch allow_url_fopen in irgendwelchen ganz bestimmten Situationen Hacker über nicht gesicherte oder kaputte PHP-Skripte ihre eigenen Skripte auf deinem Server laufen lassen können. Oder irgendwie so etwas.

Allerdings scheint es auch genügend Provider zu geben die mit allow_url_fopen sehr gut klarkommen. Die Frage ist also, wie groß die Gefahr tatsächlich ist, die von allow_url_fopen ausgeht