Jarek 'true' Wasowski napisał(a):

[...]

> Dla tego wycina sie w konfigu by zmienne z get byly dostepne tylko pod
> $_GET[] ;)
> Wtedy musial by zrobic $_GET['a'] ;) hehe

I to nadal jest rozwiązanie przeokropne.
Takie:
include $_GET['a'] . '.php';
tez.

register_globals = off nie rozwiązuje problemu włączania nieautoryzowanych
plików, ale zupełnie inny problem - wiele osób sadziło warunki, np:

if ($uprawnienia == flagiadmina) {
$admin = true;
}

[...]

if ($admin) {
...
}

bez ustawiania domyślnej, początkowej wartości zmiennej. W efekcie dało się
z poziomu URL ustawić zmienne, których nie powinno się dać ustawiać. I przed
tym właśnie chroni ta opcja. :)

--
Wojciech 'Proteus' Bańcer
p...@p...pl