file_exists() funktioniert nicht

[mi-schi]

    if (file_exists("http://cms.mi-schi.com/zugang/test.txt")) {
              echo "huhu";
    } else {
              echo "mist";
    } 

Warum gibt das Script nicht "huhu" aus. test.txt existiert doch????

[FloB]

AW: file_exists() funktioniert nicht

Weil nur auf lokale Dateien überprüft werden kann. Also den Pfad relativ zum Doc-Root angeben.

[mi-schi]

AW: file_exists() funktioniert nicht

Ich will aber von einer anderen Domain/Webspace (localhost) zugreifen. Das geht dann wohl nicht?

[FloB]

AW: file_exists() funktioniert nicht

Nö. Bleibt nur die Methode mit fsockopen() einen HTTP-Header-Request zu machen.

[mi-schi]

AW: file_exists() funktioniert nicht

Hmm, naja ich schildere mal mein Problem.

Ich habe eine PHP-Datei, auf der man sich einloggen kann/muss. Nun will ich irgendwie überprüfen, ob er Name und das Passwort richtig ist.
Mit einer DB kann ich es nicht machen, da man auch in den Quellcode schauen kann. Ich brauche also eine Bestätigung, ohne, dass das Passwort in der PHP-Datei steht.
Das dachte ich erreiche ich mit file_exists() und dann als Dateiname name . md5(passwort).
Ist ja eigentlich sicher, aber auch noch nicht das richtige.


Edit (autom. Beitragszusammenführung):

Ich habe gerade herausbekommen, dass man externe Dateien nur mit fopen() lesen kann, stimmt das?
Dann könnte man es so machen, dass man eine Datei mit fopen() ausließt und mit eval() den Code ausführt. Sicherlich sehr kritisch zu betrachten in der Sicherheit, aber was besseres fällt mir nicht ein.

[FloB]

AW: file_exists() funktioniert nicht

Machs doch so: Bastel eine Anfrage, bei der die Login-Daten per POST-Parameter übertragen werden. Die HTTP-Anfrage wird ganz normal von dem Script abgearbeitet. Zurückgesendet wird ein HTTP-Statuscode. Das Ergebnis liest das ausführende Script aus.

Lies dazu in der Manual bei fsockopen() (Beispiel: http://de3.php.net/fsockopen#id3297676) nach.

Am sichersten wäre eine POST-Anfrage. Siehe dazu die Funktionsweise des HTTP-Protokolls (RFC: http://tools.ietf.org/html/rfc1945 musst du nicht lesen, nur zum Nachschlagen bei speziellen Fragen).

Benötigte Funktionen:
fsockopen(), fwrite(), fgets() auf der Clientseite
header() auf der Serverseite

Einfach nur überprüfen, ob eine Datei vorhanden ist, ist IMO nicht so gut / sicher und v.a. umständlich.


Edit:
Konkret heißt das: Du hast ein Script, das überprüft, ob der Nutzer vorhanden ist und das Passwort übereinstimmt. Nur wird die Abfrage nicht über den Browser geschickt (von einem User direkt initiiert) sondern du simulierst praktisch eine Browseranfrage, du schreibst einen "Bot".

Achte darauf, dass du einen sinnvollen UserAgent einsetzt, damit du deinen von anderen Bots unterscheiden kannst!

[mi-schi]

AW: file_exists() funktioniert nicht

Ich glaube ich habe es verstanden.
Ich gebe bei <form action=""> die absolute Adresse ein (http://www.mi-schi.com/blabla) dort überprüfe ich die Logindaten und lasse bei korekten Daten mit header() wieder weiterleiten auf die nächste Seite.
Obwohl, man kann den Quellcode immer noch so umschreiben, dass es gleich zum zweiten Schritt, dem installieren geht. Hmmm, da muss ich mir das nochmal überlegen...

[FloB]

AW: file_exists() funktioniert nicht

Du kannst das natürlich per Formular machen, kriegst dann aber Probleme mit dem Weiterleiten.

Was ich dir beschrieben habe, ist ähnlich wie das Formular, nur, dass du das Formular umgehst. Die Scriptdatei behandelt die empfangenen Daten wie wenn sie von einem Formular kämen.

Nur auf der Seite des Scriptnutzers ändert sich etwas: Du bastelst eine HTTP-POST-REQUEST so wie wenn sie von einem Formular käme. Nur sie kommt nicht von einem Formular, sondern von einem Script. Das Script simuliert praktisch ein Formularrequest eines Browsers.

Verstanden? Ich will dir jetzt erstmal keinen Codeschnipsel geben, da du sonst nichts lernst ..

[Ingo]

AW: file_exists() funktioniert nicht

Hi,

Ich habe gerade herausbekommen, dass man externe Dateien nur mit fopen() lesen kann, stimmt das?
Dann könnte man es so machen, dass man eine Datei mit fopen() ausließt und mit eval() den Code ausführt. Sicherlich sehr kritisch zu betrachten in der Sicherheit, aber was besseres fällt mir nicht ein.

klar - aber ich verstehe das Problem nicht.
Wenn Du eine externe Textdatei auslesen willsst, warum nimmst Du dann nicht einfach file() und wertest sie aus?

Gruß
Ingo

[Brian]

AW: file_exists() funktioniert nicht

Hmm, naja ich schildere mal mein Problem.
Ich habe eine PHP-Datei, auf der man sich einloggen kann/muss. Nun will ich irgendwie überprüfen, ob er Name und das Passwort richtig ist.
Mit einer DB kann ich es nicht machen, da man auch in den Quellcode schauen kann. Ich brauche also eine Bestätigung, ohne, dass das Passwort in der PHP-Datei steht.
Das dachte ich erreiche ich mit file_exists() und dann als Dateiname name . md5(passwort).
Ist ja eigentlich sicher, aber auch noch nicht das richtige.

ich bin nicht ganz im klaren, was der sinn dahinter ist. wenn ich in den quellcode schauen kann, ist die wahrscheinlichkeit groß das ich ihn auch verändern kann. also sicherheitstechnisch bringt dich das keinen schritt weiter.

und auch dich auf einen dritten (den password server) zu verlassen, ist ein sicherheitsrisiko. was wenn der server umprogrammiert wird und immer "ja" antwortet?

also warum "darf" das password nicht "im php code stehen"?

[mi-schi]

AW: file_exists() funktioniert nicht

Ich habe es mir jetzt doch noch mal anders überlegt. Ich werde am Anfang keine Passwortabfrage einbauen, sondern direkt installieren. Dann muss man den Zugang in die eigene Datenbank eintragen und dann, wenn man wieder auf die install.php-Datei kommt, werden die Daten aus der eigenen Datenbank abgefragt, damit kein Dritter die install.php-Datei findet und ggf. die Datenbank löschen kann.