✔ Eigene Template Engine und die Gefahr von eval()

[NTDY]

Ich würde gern einige Anregungen haben wollen.
Hier ist ein Beispielskript einer Template-Engine, die ein Template auf if-endif Platzhalter analysiert und diesen dann mit richtigen PHP Code ersetzt und über eval() ausgibt. Gibt es Sicherheitsprobleme in dieser hier erstellten Fassung, wenn im Template bereits richtiger PHP Code abgefangen wird?

<?php
class Template{
  function parse($file){
  // remove given php code in template file
  $file = preg_replace('/^<\?php(.*)(\?>)?$/s', '$1', $file);

  // if condition of template engine
  $ifCond = '/\{if (.*?)\}(.*?)\{\/(endif)\}/ise';
  if(preg_match($ifCond,$file,$result)){
  $beginIf = $result[1];
  $content = $result[2];
  $endIf = $result[3];
  return $this->conditionIf($beginIf,$content,$endIf);
  }
  }

  function conditionIf($beginIf,$content,$endIf) {
  $output = "<?php if($beginIf) { echo \"$content\";};?>";
  return $output;
  }
}

$file = file_get_contents('file.txt');
$tmpl = new Template();
$content = $tmpl->parse($file);
$check = 1;

$content = "?> ".$content;
ob_start();
eval($content);
$content = ob_get_contents();
?>

Template Datei: file.txt

{if $check==1}
Hallo mein IF.
{/endif}

 

[mermshaus]

Du kannst damit beliebigen PHP-Code ausführen.

Eine Variante:

{if eval(base64_decode("Zm9yICgkaSA9IDA7ICRpIDw9IDEwMDA7ICRpKyspIGVjaG8gJGkgLiAiXG4iOw=="))}
Hallo mein IF.
{/endif}

Die Base64-Daten enthalten diesen Code: for ($i = 0; $i <= 1000; $i++) echo $i . "\n";

(Es stimmt in diesem Fall, aber solche Angaben besser nie glauben.)

Kannst du das verhindern?

Theoretisch ja, praktisch ist es alles andere als trivial.

Nimm eine bestehende Template-Engine wie zum Beispiel Twig.

- http://twig.sensiolabs.org/

 

[NTDY]

Dein Testfall ist gut. Danke.
Wie sieht es an sich aus? Machen dennoch Template Engines wie Smarty oder Twig das selbe wie mein Beispielcode?

https://github.com/twigphp/Twig/blob/1.x/lib/Twig/Environment.php#L403

eval('?>'.$content);

https://github.com/smarty-php/smarty/blob/master/libs/sysplugins/smarty_template_compiled.php#L133

eval("?>" . file_get_contents($this->filepath));

 

[mermshaus]

Die lassen beim Kompilieren von der eigenen Syntax nach PHP einen komplexeren Tokenizer und Parser über den Template-Code laufen und validieren so die Syntax.

 

[NTDY]

Gut. Danke für die Tipps.