It would make this whole issue a lot less confusing for less-experienced PHP programmers if you just explained:
- $myVariable no longer works by default
- $_GET['myVariable'] works just fine
I'm embarrassed to say it's taken me six months since my ISP upgraded to PHP5 figure this out. I've completely rewritten scripts to stop using GET variables altogether.
I'm dumb.
Usando Register Globals
Advertencia
Esta característica ha sido declarada OBSOLETA desde PHP 5.3.0 y ELIMINADA a partir de PHP 5.4.0.
Quizás el cambio más controversial en PHP fue cuando el valor predeterminado para la directiva de PHP register_globals pasó de ON a OFF en PHP » 4.2.0. La dependencia sobre esta directiva era bastante común y muchas personas ni siquiera sabía que existía y asumían sólo que ese era el modo como PHP funcionaba. Esta página explicará cómo se puede escribir código inseguro con esta directiva, pero tenga en cuenta que la directiva en si misma no es insegura sino el uso inapropiado de ella.
Cuando está activada, register_globals inyectará los scripts con todo tipo de variables, como las de peticiones provenientes de formularios HTML. Esto, unido al hecho de que PHP no requiere la inicialización de variables, significa que es muy fácil escribir código inseguro. Fue una decisión difícil, pero la comunidad de PHP decidió desactivar esta directiva por defecto. Cuando está activada, las personas usan variables que en realidad no se sabe a ciencia cierta de dónde provienen y solo queda asumir. Las variables internas que son definidas en el script mismo son mezcladas con los datos requeridos enviados por los usuarios y al deshabilitar register_globals se cambia esto. Vamos a demostrar con un ejemplo del uso incorrecto de register_globals:
Ejemplo #1 Ejemplo de uso incorrecto con register_globals = on
<?php
// $authorized = true Se define sólo si el usuario está autenticado
if (authenticated_user()) {
$authorized = true;
}
// Debido a que no se inicializa $authorized como false, esta podría ser
// definida a través de register_globals, como desde GET auth.php?authorized=1
// ¡Por lo tanto, cualquier persona puede verse como autenticada!
if ($authorized) {
include "/highly/sensitive/data.php";
}
?>
Cuando está register_globals = on, la lógica anterior podría verse comprometida. Cuando está deshabilitada, $authorized no puede definirse a través de peticiones, así que estará bien, aunque realmente en general es una buena práctica de programación inicializar las variables primero. Por ejemplo, en el ejemplo anterior se puede haber realizado primero algo como $authorized = false. Hacer esto primero significa que el código anterior podría funcionar con register_globals activado o desactivado ya que los usuarios de forma predeterminada no serían autorizados.
Otro ejemplo es aquel de las sesiones. Cuando está register_globals = on, se puede usar también $username en el siguiente ejemplo, pero nuevamente se debe notar que $username también puede provenir de otros medios, tal como GET (a través de la URL).
Ejemplo #2 Ejemplo de uso de sesiones con register_globals on u off
<?php
// No se sabría por dónde proviene $username, pero se sabe que $_SESSION es
// para datos de sesión.
if (isset($_SESSION['username'])) {
echo "Hello <b>{$_SESSION['username']}</b>";
} else {
echo "Hello <b>Guest</b><br />";
echo "Would you like to login?";
}
?>
Incluso es posible tomar medidas preventivas para advertir cuando se haga un intento de falsificación. Si se sabe previamente con exactitud el lugar de donde una variable debería provenir, se puede verificar si los datos enviados provienen de una clase inapropiada de sumisión. Si bien no garantiza que los datos no han sido falsificados, esto requiere que un atacante adivine el medio apropiado para falsificar. Si no importa de donde provienen los datos requeridos, se puede usar $_REQUEST ya que contiene una mezcla de datos GET, POST y COOKIE. Ver también la sección del manual sobre el uso de variables desde fuentes externas sources.
Ejemplo #3 Detección de envenenamiento simple de variables
<?php
if (isset($_COOKIE['MAGIC_COOKIE'])) {
// MAGIC_COOKIE viene de una cookie.
// ¡Asegúrese de validar la información de la cookie!
} elseif (isset($_GET['MAGIC_COOKIE']) || isset($_POST['MAGIC_COOKIE'])) {
mail("admin@example.com", "Posible intento de ataque", $_SERVER['REMOTE_ADDR']);
echo "Violación de seguridad, el administrador ha sido alertado.";
exit;
} else {
// MAGIC_COOKIE no se establece a través de este REQUEST
}
?>
Por supuesto, simplemente deshabilitar register_globals no quiere decir que su código
es seguro. Cada pieza de datos que es remitida, también debe ser
verificada de otras formas. ¡Siempre valide los datos de los usuarios e inicialice
sus variables! Para chequear por variables no inicializadas, se puede usar
error_reporting() para mostrar
errores de nivel E_NOTICE.
Para obtener información sobre la emulación de register_globals activado o desactivado, consulte este FAQ.
add a note
User Contributed Notes 12 notes
lester burlap ¶
15 years ago
claude dot pache at gmail dot com ¶
15 years ago
Beware that all the solutions given in the comments below for emulating register_global being off are bogus, because they can destroy predefined variables you should not unset. For example, suppose that you have
<?php $_GET['_COOKIE'] == 'foo'; ?>
Then the simplistic solutions of the previous comments let you lose all the cookies registered in the superglobal "$_COOKIE"! (Note that in this situation, even with register_global set to "on", PHP is smart enough to not mess predefined variables such as $_COOKIE.)
A proper solution for emulating register_global being off is given in the FAQ, as stated in the documentation above.
arman_y_92 at yahoo dot com ¶
9 years ago
To all those fans of this insecure functionality (which I'm glad is now turned off by default) , you can just use extract() to achieve a similar goal more securely (unless you overwrite local variables with $_GET or $_POST data).
elitescripts2000 at yahoo dot com ¶
10 years ago
<?php
/* Forces all GET and POST globals to register and be magically quoted.
* This forced register_globals and magic_quotes_gpc both act as if
* they were turned ON even if turned off in your php.ini file.
*
* Reason behind forcing register_globals and magic_quotes is for legacy
* PHP scripts that need to run with PHP 5.4 and higher. PHP 5.4+ no longer
* support register_globals and magic_quotes, which breaks legacy PHP code.
*
* This is used as a workaround, while you upgrade your PHP code, yet still
* allows you to run in a PHP 5.4+ environment.
*
* Licenced under the GPLv2. Matt Kukowski Sept. 2013
*/
if (! isset($PXM_REG_GLOB)) {
$PXM_REG_GLOB = 1;
if (! ini_get('register_globals')) {
foreach (array_merge($_GET, $_POST) as $key => $val) {
global $$key;
$$key = (get_magic_quotes_gpc()) ? $val : addslashes($val);
}
}
if (! get_magic_quotes_gpc()) {
foreach ($_POST as $key => $val) $_POST[$key] = addslashes($val);
foreach ($_GET as $key => $val) $_GET[$key] = addslashes($val);
}
}
?>
tomas at hauso dot sk ¶
7 years ago
for PHP5.4+ you can use registry pattern instead global
final class MyGlobal {
private static $data = array();
public static function get($key) {
return (isset(static::$data[$key]) ? static::$data[$key] : null);
}
public static function set($key, $value) {
static::$data[$key] = $value;
}
public static function has($key) {
return isset(static::$data[$key]);
}
}
// END OF CLASS
$var1 = 'I wanna be global';
MyGlobal::set('bar', $var1 ); // set var to registry
function foo(){
echo MyGlobal::get('bar'); // get var from registry
}
foo();
thewordsmith at hotmail dot com ¶
9 years ago
//Some servers do not have register globals turned on. This loop converts $_BLAH into global variables.
foreach($_COOKIE as $key => $value) {
if(!is_array($value)){
${$key} = trim(rawurldecode($value));
//echo "$key $value<br>";
}
else{
${$key} = $value;
}
}
foreach($_GET as $key => $value) {
if(!is_array($value)){
${$key} = trim(rawurldecode($value));
//echo "$key $value<br>";
}
else{
${$key} = $value;
}
}
foreach($_POST as $key => $value) {
if(!is_array($value)){
${$key} = trim(rawurldecode($value));
//echo "$key $value<br>";
}
else{
${$key} = $value;
}
}
foreach($_REQUEST as $key => $value) {
if(!is_array($value)){
${$key} = trim(rawurldecode($value));
//echo "$key $value<br>";
}
else{
${$key} = $value;
}
}
foreach($_SERVER as $key => $value) {
if(!is_array($value)){
${$key} = trim(rawurldecode($value));
//echo "$key $value<br>";
}
else{
${$key} = $value;
}
}
chirag176 at yahoo dot com dot au ¶
9 years ago
$mypost = secure($_POST);
function AddBatch($mypost,$Session_Prefix){
...
}
Ruquay K Calloway ¶
16 years ago
While we all appreciate the many helpful posts to get rid of register_globals, maybe you're one of those who just loves it. More likely, your boss says you just have to live with it because he thinks it's a great feature.
No problem, just call (below defined):
<?php register_globals(); ?>
anywhere, as often as you want. Or update your scripts!
<?php
/**
* function to emulate the register_globals setting in PHP
* for all of those diehard fans of possibly harmful PHP settings :-)
* @author Ruquay K Calloway
* @param string $order order in which to register the globals, e.g. 'egpcs' for default
*/
function register_globals($order = 'egpcs')
{
// define a subroutine
if(!function_exists('register_global_array'))
{
function register_global_array(array $superglobal)
{
foreach($superglobal as $varname => $value)
{
global $$varname;
$$varname = $value;
}
}
}
$order = explode("\r\n", trim(chunk_split($order, 1)));
foreach($order as $k)
{
switch(strtolower($k))
{
case 'e': register_global_array($_ENV); break;
case 'g': register_global_array($_GET); break;
case 'p': register_global_array($_POST); break;
case 'c': register_global_array($_COOKIE); break;
case 's': register_global_array($_SERVER); break;
}
}
}
?>
steve at dbnsystems dot com ¶
7 years ago
The following version could be even faster, unless anyone may come with a good reason why this wouldn't be a good practice:
<pre>
function unregister_globals() {
if (ini_get(register_globals)) {
$array = array('_REQUEST', '_SESSION', '_SERVER', '_ENV', '_FILES');
foreach ($array as $value) {
$$value = [];
}
}
}
</pre>
moore at hs-furtwangen dot de ¶
15 years ago
I had a look at the post from Dice, in which he suggested the function unregister_globals(). It didn't seem to work - only tested php 4.4.8 and 5.2.1 - so I made some tweaking to get it running. (I had to use $GLOBALS due to the fact that $$name won't work with superglobals).
<?php
//Undo register_globals
function unregister_globals() {
if (ini_get('register_globals')) {
$array = array('_REQUEST', '_FILES');
foreach ($array as $value) {
if(isset($GLOBALS[$value])){
foreach ($GLOBALS[$value] as $key => $var) {
if (isset($GLOBALS[$key]) && $var === $GLOBALS[$key]) {
//echo 'found '.$key.' = '.$var.' in $'.$value."\n";
unset($GLOBALS[$key]);
}
}
}
}
}
}
?>
The echo was for debuging, thought it might come in handy.
Dice ¶
16 years ago
To expand on the nice bit of code Mike Willbanks wrote and Alexander tidied up, I turned the whole thing in a function that removes all the globals added by register_globals so it can be implemented in an included functions.php and doesn't litter the main pages too much.
<?php
//Undo register_globals
function unregister_globals() {
if (ini_get(register_globals)) {
$array = array('_REQUEST', '_SESSION', '_SERVER', '_ENV', '_FILES');
foreach ($array as $value) {
foreach ($GLOBALS[$value] as $key => $var) {
if ($var === $GLOBALS[$key]) {
unset($GLOBALS[$key]);
}
}
}
}
}
?>
