---
title: "Sicherheit page_php_content (eval)"
url: "https://www.typo3.net/d/30030-sicherheit-page-php-content-eval"
source: "typo3.net"
tags: ["Extensions","Frage"]
created: "2005-09-12"
last_reply: "2005-09-13"
replies: 3
solved: false
page: 1
pages: 1
lang: "de"
---

# Sicherheit page_php_content (eval)

Extensions · 3 Antworten · gestartet 2005-09-12

## Eröffnungsbeitrag

**bnai** · 2005-09-12 · [Beitrag #1](https://www.typo3.net/d/30030-sicherheit-page-php-content-eval/1)

Hallo zusammen,

ich nutze relativ häufig das Inhaltselement page_php_content, weil es die einfachste mir bekannte Möglichkeit ist, ein PHP-Skript einzufügen.

Leider dürfte die Extension nicht so ganz sicher sein, da die eval()-Methode verwendet wird und es für Benutzer möglich sein könnte, schädlichen Code ausführen zu lassen. Bin da zwar kein Experte, habe aber diesbezüglich letztens einen Artikel gelesen.

Auf meiner Seite habe ich also mehrere Inhaltselemente vom Typ page_php_content, die Formulare beinhalten und somit eine Benutzereingabe ermöglichen.

Meine Fragen:

1) Ist es nun möglich, z.B. über die Eingabe "; exec(...);" böse Sachen auf dem Server anzustellen, oder wird da noch ein Riegel vorgeschoben?

2) Gibt es noch eine andere, bessere Möglichkeit als page_php_content, um ein PHP-Skript einzufügen (ausser für jedes Skript eine Extension schreiben zu müssen...)

DiV

Gruß
bnai

## Antworten

### [#2](https://www.typo3.net/d/30030-sicherheit-page-php-content-eval/2) · woida · 2005-09-12

Wenn du Magic Quotes aktiviert hast (das kannst du mit phpinfo() überprüfen), Kannst du es nicht einschalten (zb. vom Hoster ausgeschalten), solltest du die Variablen, die an dein Skript übergeben werden, durch addslashes() jagen.
Bekommst du z.b. in einer Variable immer einen Integer übergeben, sorgt intval() dafür, daß da auch wirklich ein Integer und kein bösartiger Code drinsteht.

Wenn du in deinem Skipt noch exec, verwendest, dann wäre es gut, wenn der User nicht das Programm das ausgeführt werden soll selbst übergeben kann (zb. index.php?id=3&programm=rm). Nach Möglichkeit sollte er auch keine Parameter übergeben können.

### [#3](https://www.typo3.net/d/30030-sicherheit-page-php-content-eval/3) · woida · 2005-09-12

Was mir grad einfällt:
<http://typo3.org/documentation/document-library/core-documentation/doc_core_cgl/current/view/1/5/>
Da steht eigentlich alles drin.

### [#4](https://www.typo3.net/d/30030-sicherheit-page-php-content-eval/4) · bnai · 2005-09-13

ok, danke. Das werd ich mir gleich mal durchlesen!

Sonst noch jemand eine Idee page_php_content und somit eval ganz zu umgehen?

---

Quelle: „Sicherheit page_php_content (eval)“, typo3.net, https://www.typo3.net/d/30030-sicherheit-page-php-content-eval
Beiträge von Mitgliedern des Forums. Bitte mit Link auf die Diskussion zitieren.