Опасность использования eval(). Есть ли она вообще, или это надумано?

[kutsanov]

Сразу просьба, говорите если есть что сказать, а не, как обычно льем воду, иногда и красивую.
.....
Есть мнение.
Использование eval - это огромная брешь в безопасности сайта.
В чем именно она проявляется?
Нет, я конечно понимаю, что если написать eval($_GET['str']); то это .... ну это господа просто крайности
....
Ближе к теме
есть код
eval('$POST["pValume"] = (int)$_POST["numin'.$i.'"];'
eval('$POST["pTovar"] = $_POST["id'.$i.'"];'
$i - всегда число (счетчик)
....
Может ли этот код нести опасность для сайта?
----
сразу скажу, что он уже переписан:
$POST["pValume"] = (int)$_POST["numin".$i];
$POST["pTovar"] = $_POST["id".$i];
поэтому тему о том, как и что переписывать не стоит.
Заранее благодарен за конструктивные ответы.

[Mr. Willson]

Простите за банальность, вы всегда позволяете пользователям исполнять код?
Может быть помещена команда на запись шела (десятисимвольный такой <?=`c`;?> ), вывод полного пути, выставление прав уровня сервера, вывод любого файла конфигурации, после чего рутануть тачку будет несложно.
не хотите переписывать - не надо, просто дайте ссылку на ваш сайт, но все же посоветую обрезать substr&#39;ом все ненужное

[kutsanov]

Может быть помещена команда на запись шела (десятисимвольный такой <?=`c`;?> ), вывод полного пути....

Если можно конкретно
eval(&#39;$POST["pValume"] = (int)$_POST["numin&#39;.$i.&#39;"];&#39;
eval(&#39;$POST["pTovar"] = $_POST["id&#39;.$i.&#39;"];&#39;
где в этом коде может быть помещена какая либо запись?

[Mr. Willson]

$_POST['id1'] = "\$file = fopen('shell.php',w);
************fwrite(\$file,'Марфа Васильевна я');
************fclose(\$file);";

eval('$POST["pTovar"] = $_POST["id'.$i.'"];');

ну например таким образом...
и кстати, а у вас выходит с тем вариантом то, что вы задумали? всмысле работает так как надо?

[kutsanov]

$_POST['id1'] = "$file = fopen('shell.php',w);
************fwrite($file,'Марфа Васильевна я');
************fclose($file);";

eval('$POST["pTovar"] = $_POST["id'.$i.'"];');

ну например таким образом...
и кстати, а у вас выходит с тем вариантом то, что вы задумали? всмысле работает так как надо?

Ну здесь позвольте не согласится
В смысле EVAL здесь не причем.
При таком раскладе и $POST["pTovar"] = $_POST["id1"]; выдаст тоже самое.
Переменнные же потом обрабатываются.
конкретно EVAL несет опасность???