Altes Php Script anpassen

Habe den verlinkten Code gerade nur mal überflogen. Da ist eine Menge sehr unschönes Zeug drin. Im Prinzip würde ich dir raten das lieber komplett neu zu schreiben. Um ein wirklich sauberes Ergebnis zu bekommen ginge das sicherlich schneller als das da alles zu überarbeiten.

Ich habe gerade nicht die Zeit (und ehrlich gesagt auch nicht so die Lust ;)) mir das alles genau zu Gemüte zu führen, ist ja jetzt auch nicht soo wenig Code.

Aber zu deiner konkreten Frage zumindest:

$index = $_GET['index']
$action = $_GET['action']
$InvID = $_GET['InvIDDBsel']

Das hast du grundlegend schonmal richtig erkannt.
Die Prüfung sollte aber erweitert werden, mindestens um ein file_exists() um zu überprüfen ob die zu includierende Datei überhaupt existiert.
Außerdem, als schnelle Lösung die schonmal ein wenig Sicherheit gegen manuelle Manipulation der GET-Parameter von Usern liefert, ein array anlegen, welches die Dateinamen enthält die includiert werden dürfen.
Vor dem include dann halt prüfen ob die Datei includiert werden darf.

z.B.:

$allowed_files = ("home.php" , "view.php" , "edit.php");
if(isset($_GET['index']) && file_exists($_GET['index']) && in_array($_GET['index'] , $allowed_files)) {
  include($_GET['index']);
}

Außerdem dringend erforderlich: Die Verwendung von mysql_real_escape_string() auf alle Daten die vom User kommen und in Datenbank-Queries verwendet werden.
Also z.b. alle POST- und GET-Daten.

Mein Beileid übrigens, diesen Code überarbeiten zu müssen. Sowas macht in der Regel nicht gerade Spaß, besonders wenn man sich mit der Sprache nicht gut auskennt.

Zitat von SinnlosS

z.B.:

PHP

$allowed_files = ("home.php" , "view.php" , "edit.php");
if(isset($_GET['index']) && file_exists($_GET['index']) && in_array($_GET['index'] , $allowed_files)) {
  include($_GET['index']);
}

Sorry, da fehlte natürlich in der ersten Zeile der Funktionsaufruf "array" zur Erstellung des arrays.
Muss natürlich so aussehen:

$allowed_files = array("home.php" , "view.php" , "edit.php");
if(isset($_GET['index']) && file_exists($_GET['index'])  && in_array($_GET['index'] , $allowed_files)) {
  include($_GET['index']);
}