Официально, официальный источник php.net:

Внимание

Данная возможность была помечена УСТАРЕВШЕЙ начиная с версии PHP 5.3.0 и была УДАЛЕНА в версии PHP 5.4.0.

Кроме того, значение по умолчанию для PHP-директивы register_globals с ON на OFF было изменено в версии PHP » 4.2.0.

Статья: Использование глобальных переменных (Register_Globals)

и у нас:

Originally Posted by TAIFUN

this exploit requires that PHP on your server to have been configured with "register_globals" enabled

Originally Posted by stp

register_globals - у меня была включена в результате мой форум поломали

Так почему, ну почему я постоянно натыкаюсь на register_globals=ON? И отнюдь нЕ в древних PHP, нет, сплошь и рядом это PHP 5.2.х и PHP 5.3.х!


На форумах, где стоит старая (=уязвимая) vBA и вечно уязвимое вбСЕО, стоит себе включенный register_globals, и админы спят спокойно...

я уж молчу про всякие ДЛЕ... Уязвимость DLE. Патчи безопасности для версий 9.7 и ниже.

Не спать! Ахтунг! Подъём! Быстро сбегали к себе в админку, обслуживание - показать инфо о пхп, в поиск в браузере вбили register_globals - что там?

OFF - ок, всё хорошо, спите спокойно

ON - трусим/пинаем хостера/сисадмина, выключаем к такой-то матери и можно спать спокойно

Хостер строит глазки? не понимает, про что речь? есть решение местного масштаба:

Originally Posted by Fiesta

выяснила, что на сервере включена опция register_globals, обратилась в техподдержку, посоветовали прописать в .htaccess строку php_flag register_globals off

100% гарантии этот метод не даст, сработает при условии, если... если... если... но попробовать-то можно!


Админы! Помните: безопасность - это вам не просто так, безопасностью надо заниматься конкретно!
Оффтоп

кто узнает, что за фраза была изначально, получит конфетку

Оффтоп

Originally Posted by Luvilla

кто узнает, что за фраза была изначально, получит конфетку

Любовь это вам не просто так, ею надо заниматься

Originally Posted by Luvilla

100% гарантии этот метод не даст, сработает при условии, если... если... если... но попробовать-то можно!

даже если это не прокатит, там же по ссылке в статье есть функция unregister_globals() написанная в комментах

PHP Code:

function unregister_globals()
{
      if(!ini_get('register_globals'))
      {
            return false;
      }
      foreach(func_get_args() AS $name)
      {
            foreach($GLOBALS[$name] AS $key => $value)
            {
                  if(isset($GLOBALS[$key]))
                  {
                        unset($GLOBALS[$key]);
                  }
            }
      }
} 


использование

PHP Code:

unregister_globals('_POST', '_GET', '_COOKIE', '_REQUEST', '_SERVER', '_ENV', '_FILES'); 


можно запихать на хук init_startup или вообще впилить в код файла init.php до инициализации всех хуков

это на тот случай, когда хостер по каким то причинам не хочет изменять настройки

Эх) помню темку здесь пользователь создавал, тоже по глобалсу)))


PS. А я всю жизнь думал, что данную функцию вообще для разработчиков придумали)
Зачем хостеры ее включают - мне не понятно)

может и не хостеры, а требования из инструкций по инсталлу, какого то скрипта (хотя ни разу не встречал такого) + свой сервак/vps, вот узеры и включают сами

Originally Posted by StenLi

Зачем хостеры ее включают - мне не понятно)

вот именно
в многолетней давности темке на ачате так и сказано: на хороших хостингах оно офф

Originally Posted by kerk

может и не хостеры, а требования из инструкций по инсталлу, какого то скрипта (хотя ни разу не встречал такого) + свой сервак/vps, вот узеры и включают сами

ну возможно... только почему потом, когда я пишу хозяину проекта, "у тебя включено register_globals, это дыра!" - он делает большие глаза и восемь раз переспрашивает, о чём речь?

Originally Posted by kerk

вот узеры и включают сами

Сами включают, значит знают, что они делают, вот пусть и платятся за это.

Originally Posted by StenLi

вот пусть и платятся за это.

бывает, что платят другие

Originally Posted by Luvilla

Быстро сбегали к себе в админку, обслуживание - показать инфо о пхп

Warning: phpinfo() has been disabled for security reasons in [path]/admincp/index.php on line 1102

admincp/index.php:

PHP Code:

// ################################ SHOW PHP INFO #############################

if ($_REQUEST['do'] == 'phpinfo')
{
    if (is_demo_mode())
    {
        print_cp_message('This function is disabled within demo mode');
    }
    else
    {
        phpinfo();
        exit;
    }
} 


Спросил у хостера на счет register_globals. Вот что ответили:

На весь сайт изменения
добавляем строку в .htaccess
suPHP_ConfigPath /home/*LOGIN*/

создайте php.ini и ложите туда необходимые настройки

что-то в этом есть...
phpinfo() has been disabled for security reasons, но при этом register_globals=ON
красиво...

и ложите туда необходимые настройки

надо писать "ложЬте"!!!