Wie aktiviere ich register_globals?

[R300]

Hallo
Ich will auf meinem Server register_globals aktivieren (wurde vom Anbieter aus Sicherheitsgründen deaktiviert).

Ich weiß aber leider nicht wie ich zur php.ini komme.

Hier steht zwar wo ich die Datei finde, aber ich kann mit den URL's nichts anfangen.
http://www.2-takt-support.de/phpinfo.php

Weiß das jemand?
Oder evntl. eine andere Möglickeit die Funktion zu aktivieren?

THX

[Casetest]

hast du shell-zugang zu deinem server? oder zufällig confixx mit adminzugang?

[R300]

Was ist ein shell zugang?
Confixx habe ich nicht.

[Dane]

Wenn du keine Ahnung hast, schreib einfach mal ne Mail an deinen Hoster. Wenn er nett ist, Aktiviert er diese einstellung.

[R300]

Tolle Hilfe...Ich will es aber selbst machen.

[darph]

Tolle Hilfe...Ich will es aber selbst machen.
Hast du einen ganzen Server, 'ne komplette Kiste - oder nur Webspace? Falls zweiteres: Das wird nicht gehen. Und das hat auch so seinen Grund. Wenn du nur einen Webspace gemietet hast, und keinen Server und bei dir kein Confixx läuft, gehe ich mal davon aus, daß sich das von dir nicht aktivieren läßt.

[Dane]

Tolle Hilfe...Ich will es aber selbst machen.

Oh, Entschuldigung das ich keine andere Antwort drauf geben konnte. Aber Grundbedingung ist nunmal, daß du einen dedizierten Server, oder einen V-Server besitzt. Dann kannst du dich per SSH auf deinen Server einloggen und das in deiner php.ini ändern. :rolleyes:

[R300]

Hmm hab nur Webspace, aber was ist damit?
http://www.christian-gerner.de/computer/php/registerglobals.htm

Ich habe das versucht aber da kam der Fehler 500, also hab ich was falsch gemacht.

[Black-Scorpion]

Ich kann mir nicht vorstellen das du überhaupt Zugriff auf die php.ini hast.
Webspace ist meilenweit von einem eigenen Server entfernt.

[darph]

Ich habe das versucht aber da kam der Fehler 500, also hab ich was falsch gemacht.
Nichts - die wissen nur auch, daß das manche Leute versuchen werden und verhindern es.

[/me]

Auf meinem Webspace hab ich "php_flag register_globals off" in der .htaccess stehen, weil das standardmäßig aktiviert war und mich das schon einige Stunden Fehlersuche gekostet hat. Du kannst es ja mal mit "on" probieren.

Wo ist der unterschied bei Flag und Value? Vielleichts liegts ja da dran.

Aber davon abgesehen: Bist du dir ganz sicher, dass du diese teuflische Funktion aktivieren willst? Gibt es irgendwelche Gründe?

[R300]

Ich will ein Online Shop installieren, der diese Funktion braucht.

Aber es geht weder mit "php_flag register_globals on" noch mit
"php_value register_globals 1"

Naja dann installier ich den halt bei funpic...da gehts.

[PatTheMav]

Oder du wirst endlich vernünftig und programmierst ohne die Unsitte bekannt als "register_globals". ;) Ernsthaft, sowas zu verwenden ist IMO fürchterlich und eine Sicherheitslücke dazu - was ist denn so schwer daran $_POST[], $_GET[] und Konsorten zu verwenden, zumal es den Code und die Verwendung der vom Browser übergebenen Variablen erheblich erleichtert.

Wenn du allerdings wirklich unbedingt register_globals brauchst, kannste dir selbst eine Funktion schreiben, die das vor den restlichen Befehlen erledigt - mittels einer Schleife die $_POST und Co Variablen durchlaufen und per variablen Variablennamen global jedes Element der Arrays definieren, hab den funktionierenden Beispielcode hier grad nicht verfügbar

[R300]

Ich kann leider nichtwirklich PHP Programmieren. Der Shop ist von oSCommerce und der braucht unbedingt diese Funktion. Auch wenn die noch so gefährlich ist.
Was ist eigentlich so gefährlich daran und wie kann man diese Sicherheitslücke ausnutzen?

[/me]

Ich kann leider nichtwirklich PHP Programmieren. Der Shop ist von oSCommerce und der braucht unbedingt diese Funktion. Auch wenn die noch so gefährlich ist.
Was ist eigentlich so gefährlich daran und wie kann man diese Sicherheitslücke ausnutzen?

1. http://www.oscommerce.info/docs/english/e_requirements.html ("osCommerce runs on most server specific configurations ranging from dedicated servers to shared servers that utilize different PHP configurations such as register_globals and safe_mode restrictions") Entweder bin ich zu blöd zum lesen, habe die falsche Seite gefunden oder ich frage mich, wo du dein Problem hast. ;)

2. Man kann in PHP Variablen verwenden, ohne sie vorher zu deklarieren. Diese werden dann neu angelegt. Wenn man sich jetzt drauf verlässt, dass eine Variable nicht schon vorher existiert, (also sie nicht vor Verwendung mit einem default-Wert überschreibt) kann ein Angreifer durch Anhängen von Parametern Variablen einschleusen, wenn register_globals aktiviert ist. Außerden stiftet es Verwirrung, wenn man sich z.B. nicht bedenkt, dass $bla und $_GET['bla'] das gleiche sind.

[R300]

Der Shop ließ sich aber nicht mal installieren ohne register_globals.

Da stand immer was von wegen, "register_globals ist deaktiviert. Bitte aktivieren sie es in der php.ini".

[Schimi1983]

probier esmal damit, bei mir ging ein script das register globals braucht danach:

if (!ini_get("register_globals")) {
import_request_variables('GPC');
}



QUELLE: http://www.netz-id.de/article1823.html