Weblabor

a) rossz a szolgáltatód; .htaccess-sel, <VirtualHost/>, <Directory/> és egyéb direktívákban rá lehet venni az apache, hogy kapcsolja ki a register_globals
b) írd újra a programot (írj egy olyan programot, ami átírja a programod); ügyelj arra, hogy ne használj olyan változóneveket, amik szerepelnek a $_SESSION tömbben.

én is egyszer írtam egy programot, $_SESSION['user']-ban voltak a bejelentkezett felhasználó adatai, de egy-egy fórum megnézésekor "elfelejtette" a bejelentkezést, mivel $user-t is használtam. kb fél napig keresgéltem, mígnem arra a gondolatra nem jutottam, hogy ,,hátha a phpinfo() többet tud nálam ...'' és tényleg: ott volt, hogy register_globals meg off, úgyhogy csak a $user-hez írtam egy kettes számot és ennyi.

azóta, mielőtt egy fia T_OPEN_TAG-et (<script language="php">, <?php) írnék, kérek egy phpinfo() képernyőt ...

biztonságról meg a PHP Manual-ban: Globálisan is elérhető változók (Register Globals) használata

bbalint

Ha register_globals = on , akkor nem veszi figyelembe, hogy honnan érkezik az adott változó, így kritikus részeknél, amikor formon vagy linken keresztül küldesz paramétereket, akkor már te is láthattad, hogy furcsaságok történnek. Ami ennél rosszabb, hogy ha rájön valaki, hogy milyen változókat használsz, akkor azokat URL-ben küldve tetszőleges értékekkel látja el és akkor jogosulatlanul fér hozzá bizonyos részekhez. Ha például nincs beállítva az open_basedir és allow_url_open, akkor meg szépen be tudja linkelni a saját szkriptjét, amit te includole-sz és már fut is a szerveren, és hogy mit csinál, annak csak a korlátozások és a lelkiismerete szab határt

PZ